ECLI:NL:PHR:2023:823

• Datum uitspraak: 21 juli 2023
• Publicatiedatum: 20 september 2023
• Zaaknummer: 23/01128
• Instantie: Parket bij de Hoge Raad
• Type: Conclusie
• Rechtsgebied: Civiel recht
• Vindplaatsen: Rechtspraak.nl

Conclusie

Vordering als bedoeld in art. 7, art. 9 en art. 17 van de Regeling toezicht verwerking persoonsgegevens door gerechten en het parket bij de Hoge Raad

Aan de Hoge Raad der Nederlanden Nummers AVG 2022-045 en AVG 2022-046

Vordering dat de Hoge Raad zal overgaan tot de behandeling van de klachten van:

[klager] (hierna: klager) tegen

1. het bestuur van de rechtbank Noord-Nederland;

2. het bestuur van de rechtbank Amsterdam en

3. het bestuur van de rechtbank Den Haag.

en

dat de Hoge Raad onderzoekt of de inrichting van het E-archief thans voldoet aan de normen van de Algemene Verordening Gegevensbescherming (hierna: AVG).

Inhoudsopgave

1. Inzet van de vordering

2. De procedure

3. Het E-archief

4. De Regeling toezicht verwerking persoonsgegevens door gerechten en het parket bij de Hoge Raad

5. De aan verwerkingen gestelde eisen in de AVG

6. Voldoet het E-archief aan de AVG?

7. Bespreking van de klachten

8. Vordering

1. Inzet van de vordering

1.1

Deze vordering betreft de verwerking van persoonsgegevens in het E-archief. Het E-archief is een interne databank van de Rechtspraak en bevat een selectie van uitspraken ^[1] , die in de regel niet geanonimiseerd in de databank worden opgenomen. Het E-archief bevat daarmee persoonsgegevens, bijvoorbeeld van procespartijen. Het E-archief staat in het teken van de rechtseenheid en het bevorderen van de kwaliteit van de rechtspraak en is toegankelijk voor rechterlijke ambtenaren maar ook bijvoorbeeld voor gerechtsambtenaren. Leden van de Hoge Raad en het parket bij de Hoge Raad hebben als zodanig geen toegang tot het E­ archief, terwijl het E-archief zich evenmin uitstrekt tot niet geanonimiseerde arresten van de Hoge Raad en conclusies van de procureur-generaal bij de Hoge Raad.

1.2

In het licht van het voorgaande strekt de vordering zich uit tot het gebruik van het E-archief door de rechtbanken en de gerechtshoven als bedoeld in art. 2 onder a en b van de Wet op de rechterlijke organisatie (hierna: RO). Met het gebruik van de term 'gerechten' wordt in deze vordering gedoeld op de rechtbanken en gerechtshoven, tenzij anders is aangegeven. De vordering betreft niet de Hoge Raad en het parket bij de Hoge Raad. De vordering heeft evenmin betrekking op de Centrale Raad van Beroep en het College van Beroep voor het bedrijfsleven, omdat de procureur-generaal bij de Hoge Raad geen toezichthoudende taak heeft ten aanzien van gegevensverwerking door deze colleges. ^[2]

1.3

De vordering stelt in de kern de vraag aan de orde of het gebruik van het E-archief door de rechtbanken en gerechtshoven voldoet aan de eisen van de AVG. ^[3]

1.4

De aanleiding voor deze vordering is tweeledig.

1.5

In de eerste plaats heeft klager bij mij drie klachten ingediend die (onder meer) zien op de verwerking van zijn persoonsgegevens in het E-archief door de rechtbanken Noord­ Nederland, Amsterdam en Den Haag. In een aantal uitspraken is de naam van klager vermeld en zijn hoedanigheid van al dan niet professioneel handelende gemachtigde. Het laatstgenoemde aspect is relevant voor de vraag of aanspraak bestaat op de in artikel 1, aanhef en sub a, van het Besluit proceskosten bestuursrecht bedoelde vergoeding. De klachten betreffen, kort gezegd, (i) dat een dergelijke uitspraak van de rechtbank Noord­ Nederland in het E-archief is opgenomen; (ii) dat deze uitspraak vervolgens in het E-archief is geraadpleegd door een rechter in de rechtbank Amsterdam, die ook het resultaat van deze raadpleging ter zitting meedeelde en vervolgens verwerkte in haar uitspraak; en (iii) de weigering van het bestuur van de rechtbank Den Haag om te voldoen aan het verzoek van klager zijn persoonsgegevens niet via (onder meer) het E-archief te verspreiden.

1.6

Ten aanzien van deze klachten houdt de vordering in dat de Hoge Raad een onderzoek instelt naar de wijze waarop de gerechtsbesturen van de drie genoemde rechtbanken, als verwerkingsverantwoordelijken in de zin van de AVG, de desbetreffende persoonsgegevens van klager hebben verwerkt in het E-archief.

De vordering is in zoverre gebaseerd op de art. 7 en art. 9 van de Regeling toezicht verwerking persoonsgegevens door gerechten en het parket bij de Hoge Raad (hierna: de Regeling). ^[4] In art. 9 is bepaald dat klachten als bedoeld in de Regeling zoveel mogelijk worden behandeld overeenkomstig de bepalingen uit afdeling 1a van hoofdstuk 2 van de Wet op de rechterlijke organisatie. Op grond hiervan kan de Hoge Raad beoordelen of het betrokken gerechtsbestuur zich al dan niet behoorlijk heeft gedragen (art. 13f lid 1 RO). In dit verband komt die toetsing in essentie neer op een beoordeling van de vraag of de verwerking van de persoonsgegevens, voor zover daarvan sprake is, voldoet aan de eisen van de AVG.

1.7

In de tweede plaats is de aanleiding voor deze vordering dat mij signalen hebben bereikt dat er binnen de gerechten bepaalde zorgen leven over de verwerking van persoonsgegevens in het E-archief. Verschillen in opvattingen binnen de gerechten over de rechtmatigheid van de verwerking van persoonsgegevens in het E-archief kunnen meebrengen dat onevenwichtigheden ontstaan bij het 'vullen' van het E-archief, wat ten koste kan gaan van de doeleinden van de databank. Het is in het belang van de rechtszekerheid en de rechtseenheid dat de Hoge Raad zich uitspreekt over de vraag of de verwerking van persoonsgegevens in het E-archief voldoet aan de eisen van de AVG.

1.8

De Rechtspraak heeft vanaf 2022 verschillende maatregelen getroffen om de verwerking van persoonsgegevens in het E-archief in overeenstemming met de AVG te houden dan wel te brengen en is thans nog doende een aantal maatregelen voor te bereiden. Ik zal de getroffen verbetermaatregelen betrekken bij de beoordeling. Daarbij ga ik uit van de mij bekende stand van het E-archief op de datum waarop de vordering wordt ingediend, te weten 21 juli 2023.

1.9

Ten aanzien van het E-archief als zodanig houdt de vordering in dat de Hoge Raad onderzoekt of de inrichting van het E-archief thans voldoet aan de normen van de AVG.

1.1

Ik ontleen de bevoegdheid hiertoe aan art. 17 van de Regeling, waarin onder meer is bepaald dat de procureur-generaal bij de Hoge Raad ook ambtshalve een vordering kan instellen tot het doen van een onderzoek naar de wijze waarop 'een gerecht' persoonsgegevens verwerkt in het kader van de uitoefening van zijn gerechtelijke taken. Ik beperk de vordering in dit opzicht tot de hiervoor genoemde besturen van de rechtbanken Noord-Nederland, Amsterdam en Den Haag, omdat zij op mijn verzoek inlichtingen hebben verstrekt over (niet alleen de hiervoor genoemde tegen hen gerichte klachten, maar ook over) de inrichting en het gebruik van het E-archief. Hoewel de vordering in zoverre formeel is gericht tegen deze drie gerechtsbesturen, moge duidelijk zijn dat het materieel gaat om het (voorlopige) resultaat van de inspanningen van de besturen van de gezamenlijke gerechten en de Raad voor de rechtspraak met betrekking tot de verwerking van persoonsgegevens in het E­ archief. In die zin gaat het om een gezamenlijke verantwoordelijkheid.

1.11

Ter toelichting op deze vordering bespreek ik hierna de volgende onderwerpen:

- De aan deze vordering voorafgaande feiten en omstandigheden (hierna onder 2).

- Een beschrijving van het E-archief, de maatregelen met betrekking tot het E-archief die met het oog op de AVG inmiddels zijn getroffen en nog in het verschiet liggen, en de inlichtingen over het gebruik van het E-archief die zijn verkregen van de besturen van de rechtbanken Noord-Nederland, Amsterdam en Den Haag (hierna onder 3).

- Het door de AVG vereiste toezicht op de verwerking van persoonsgegevens door de gerechten bij de uitoefening van hun rechterlijke taken, dat is belegd bij de procureur­ generaal bij de Hoge Raad (hierna onder 4). Dit is de eerste vordering die op grond van de (in 1.3 en 1.5) genoemde Regeling wordt ingesteld. Daarom acht ik het raadzaam nader in te gaan op deze toezichthoudende taak.

- Het juridisch kader voor de verwerking van persoonsgegevens door de gerechten bij de uitoefening van hun rechterlijke taken, in het bijzonder de relevante bepalingen uit de AVG (hierna onder 5).

- De beoordeling van de rechtmatigheid van de verwerking van persoonsgegevens in het E­-archief als zodanig (hierna onder 6).

- Een bespreking van de klachten die klager bij mij heeft ingediend (onder 7).

- Afsluitend volgt de vordering als zodanig met een samenvatting van mijn standpunt ter zake (onder 8).

2. De procedure

2.1

Klager heeft bij brieven van 9 september en 25, 28 en 29 november 2022, telkens op grond van art. 7 van de Regeling, bij mij geklaagd over de handelwijze van rechters in dan wel de besturen van respectievelijk de rechtbank Noord-Nederland, de rechtbank Amsterdam en de rechtbank Den Haag. Omdat de voor deze vordering relevante klachten ^[5] betrekking hebben op de AVG en in dat verband de gerechtsbesturen de verwerkingsverantwoordelijken zijn, heb ik alle klachten aangemerkt als gericht tegen de gerechtsbesturen, ook voor zover klager daarin klaagt over een individuele rechter of griffier.

2.2

De klacht in de brief van 9 september 2022 tegen het gerechtsbestuur van de
rechtbank Noord-Nederland betreft een uitspraak van een bestuursrechter in deze rechtbank van 23 februari 2022. Hierin is de naam van klager als gemachtigde van de verzoeker vermeld en is in verband met de vraag of een proceskostenveroordeling verschuldigd is, kort gezegd, overwogen dat niet is gebleken dat de gemachtigde werkzaam is als professionele rechtsbijstandsverlener.

De klacht houdt, samengevat, in dat het bestuur op onrechtmatige wijze de persoonsgegevens van klager in het E-archief heeft verwerkt door deze hierin, door publicatie van de uitspraak van 23 februari 2022, op te nemen zonder zijn toestemming en zonder dat hem het bestaan van het E-archief kenbaar was gemaakt. Voorts bestrijdt klager dat ten aanzien van deze uitspraak is voldaan aan de door de Rechtspraak geformuleerde criteria voor opname van uitspraken in het E-archief. Klager schrijft dat de uitspraak van 23 februari 2022 op zijn verzoek uit het E-archief is verwijderd.

Klager verwijst verder naar een uitspraak van dezelfde rechter van 20 mei 2022. Hierin is hij wel als professioneel gemachtigde aangemerkt. Zie ik het goed, dat houdt de klacht ook in dat deze uitspraak ten onrechte niet in het E-archief is opgenomen.

2.3

De klacht in de brieven van 28 en 29 november 2022 tegen het gerechtsbestuur van de
rechtbank Amsterdam betreft het raadplegen van het E-archief op naam van klager door de rechter in deze rechtbank. De rechter deed dit om te kunnen beoordelen of de cliënt van klager in aanmerking kwam voor een vergoeding van diens proceskosten. De rechter vond in het E-archief een uitspraak waarin is geoordeeld dat klager beroepsmatig handelend gemachtigde is en een uitspraak waarin dat niet is aangenomen, te weten - naar klager stelt - de hiervoor bedoelde uitspraak van 23 februari 2022 van de rechtbank Noord-Nederland. Aangevoerd wordt dat de rechter niet op naam van klager ^[6] in het E-archief had mogen zoeken, omdat daarvoor de door de AVG vereiste grondslag en noodzaak ontbraken. Ook had de rechter volgens klager het resultaat van de zoekslag niet ter zitting mogen delen met (onder meer) de wederpartij. Evenmin had zij volgens klager het resultaat mogen verwerken in haar in het openbaar gedane uitspraak. De griffier had daaraan volgens klager niet mogen meewerken door de uitspraak mede te ondertekenen. Het bestuur heeft volgens klager nagelaten een en ander aan te merken als een inbreuk op de AVG - een 'datalek' - en dit op voet van de Regeling te melden bij de procureur-generaal bij de Hoge Raad. Voorts houdt de klacht in dat het bestuur niets heeft ondernomen om de gevolgen van het 'datalek' te beperken. ^[7]

2.4

Klager heeft bij brief van 11 juli 2022 bij het bestuur van de rechtbank Amsterdam een klacht ingediend over de handelwijze van de behandelend rechter. Bij brief van dezelfde datum heeft klager zijn klacht ingediend bij de Raad voor de rechtspraak. De Functionaris Gegevensbescherming voor de Rechtspraak (hierna: FG voor de Rechtspraak) heeft klager geantwoord bij brief van 11 augustus 2022. In deze brief is een toelichting gegeven op de inrichting en het gebruik van het E-archief. Het bestuur van de rechtbank Amsterdam heeft in zijn antwoordbrief van 2 september 2022 wat betreft de beantwoording van deze klacht verwezen naar de brief van de FG voor de Rechtspraak van 11 augustus 2022.

Klager heeft verder bij brief van 10 oktober 2022 aan de rechtbank Amsterdam in verband met de hiervoor genoemde zaak onder meer om afscherming van zijn persoonsgegevens verzocht en bezwaar gemaakt tegen verspreiding van zijn persoonsgegevens via onder meer het E-archief. Hij heeft verzocht om te waarborgen dat verspreiding van zijn persoonsgegevens via onder meer het E-archief niet (meer) plaatsvindt. Bij brief van 14 november 2022 heeft het gerechtsbestuur klager onder meer geschreven dat het bezwaar tegen (verdere) verspreiding van zijn persoonsgegevens via onder meer het E-archief is voorgelegd aan de voorzitter en de behandelend rechter. De uitspraak van de bestuursrechter in de rechtbank Amsterdam is niet opgenomen in het E-archief, noch zijn andere zaken van de rechtbank Amsterdam waarbij klager betrokken is daarin opgenomen. Aan het verzoek van klager om te waarborgen dat verspreiding van zijn persoonsgegevens via onder meer het E-archief niet (meer) plaatsvindt kan het gerechtsbestuur niet voldoen, omdat zijn gegevens zich niet in het E-archief bevinden.

Op 27 februari 2023 heeft een gesprek tussen de president van de rechtbank Amsterdam en klager plaatsgevonden. Dit gesprek heeft er niet toe geleid dat klager zijn klacht heeft ingetrokken.

2.5

De klacht in de brief van 25 november 2022 tegen het bestuur van de
rechtbank Den Haag betreft de afwijzing van het verzoek van klager om zijn persoonsgegevens niet te verspreiden via onder meer het E-archief. ^[8] Klager noemt in dit verband een uitspraak van een bestuursrechter in deze rechtbank van 18 november 2021 waarin de naam van klager is vermeld als (kennelijk professioneel handelend) ^[9] gemachtigde van verzoeker, maar beperkt zijn klacht niet tot deze uitspraak. Het gerechtsbestuur heeft klager bij brief van 8 november 2022 onder meer geschreven:

"Uw bezwaar tegen (verdere) verspreiding van uw persoonsgegeven via rechtspraak.nl en het E­-archief is voorgelegd aan de voorzitter van het team waarin de zaak waarnaar u verwijst is behandeld. Daar heeft een weging plaatsgevonden tussen het belang van openbaarheid en vindbaarheid van de rechtspraak en uw privacy in deze zaak. In uw verzoek wordt geen reden gezien om in de zaak met kenmerk SGR 21/5722 WOB af te wijken van de handelingswijze zoals deze is opgenomen in de anonimiseringsrichtlijnen m.b.t. de website rechtspraak.nl en/of het intern gebruik van het E-archief. (... ) Aan uw verzoek tot verzoek om te waarborgen dat uw persoonsgegevens niet (meer) verspreid worden via rechtspraak.nl en het E-archief zal ik niet voldoen."

Klager is het niet eens met de afwijzing van zijn verzoek. In dit verband voert hij, samengevat, aan dat het hem, op het moment dat hij zijn persoonsgegevens deelde met de rechtbank, niet duidelijk was dat deze in het E-archief zouden worden opgenomen en dat hij hiervoor geen toestemming heeft gegeven. Verder is hij van mening dat niet de teamvoorzitter, maar het gerechtsbestuur op zijn verzoek had dienen te beslissen en dat de afwijzing onvoldoende is gemotiveerd.

2.6

In het kader van een oriënterend onderzoek heb ik bij brief van 14 oktober 2022 aan de voorzitter van de Raad voor de rechtspraak verzocht om inlichtingen over de stand van zaken ten aanzien van de inrichting van het E-archief in relatie tot de privacyregelgeving, waartoe op 26 november 2021 is besloten in het kader van het Presidenten-Raad Overleg (hierna: PRO), het periodieke overleg tussen de presidenten van de gerechten ^[10] en de Raad voor de rechtspraak. Ik heb klager in mijn brief van 14 oktober 2022 hiervan op de hoogte gebracht. De voorzitter van de Raad voor de rechtspraak heeft mij bij brief van 8 november 2022 een voortgangsrapportage met betrekking tot het verbeteren van diverse AVG-aspecten van het E-archief gezonden. Nadien heb ik voortgangsrapportages van 23 december 2022 en 5 april 2023 ontvangen. De Raad voor de rechtspraak heeft deze rapportages ook aan klager toegezonden.

2.7

Ik heb klager en de voorzitter van de Raad voor de rechtspraak alsook de voorzitters van de gerechtsbesturen van respectievelijk de rechtbank Noord-Nederland, Amsterdam en Den Haag bij brieven van 16 december 2022 in kennis gesteld van mijn voornemen om bij de Hoge Raad een of meer vorderingen in te stellen tot het doen van een onderzoek naar - kort samengevat - de wijze waarop gerechten persoonsgegevens verwerken in relatie tot het E­-archief in het kader van de uitoefening van hun gerechtelijke taken.

2.8

Bij brieven van 22 december 2022 zijn de gerechtsbesturen van de rechtbanken Noord­ Nederland, Amsterdam en Den Haag conform het bepaalde in art. 14 van de Regeling in verbinding met art. 13b lid 2 RO in de gelegenheid gesteld schriftelijk te reageren op de bij mij ingediende klachten en vragen over de inrichting en het gebruik van het E-archief te beantwoorden.

2.9

Het bestuur van de
rechtbank Noord-Nederland heeft bij brief van 14 februari 2023 op mijn verzoek gereageerd en onder meer het volgende opgemerkt naar aanleiding van de klacht:

"De inhoud van voornoemde brief van 9 september geeft aanleiding tot het plaatsen van de opmerking dat klager in de brief miskent dat het e-archief niet alleen nodig is om de kwaliteit van de rechterlijke beslissingen te waarborgen en in het kader van de rechtseenheid van belang is, maar ook dient voor wetenschappelijk en beleidsmatig onderzoek, in zowel kwalitatieve als kwantitatieve zin, door externe onderzoekers en het WODC. Uitspraken waarvan klager stelt dat deze het E-archief vervuilen, kunnen echter (ook) een onderzoeksdoel dienen."

Voor het overige verwijst het gerechtsbestuur in reactie op de brief van klager naar de antwoorden op de vragen met betrekking tot het E-archief (zie hierna onder 3.22).

2.1

Het bestuur van de
rechtbank Amsterdam heeft bij brief van 16 februari 2023 op mijn verzoek gereageerd en wat betreft de klacht verwezen naar de eerder door het gerechtsbestuur aan klager verzonden brieven en naar de brief van de FG voor de Rechtspraak van 11 augustus 2022, en heeft voor zover de vragen van klager raken aan mijn vragen over het E-archief verwezen naar de antwoorden op die vragen (zie hierna onder 3.22).

2.11

Het bestuur van de
rechtbank Den Haag heeft bij brief van 14 februari 2023 op mijn verzoek gereageerd en wat betreft de klacht verwezen naar de eerder door het gerechtsbestuur aan klager verzonden brief van 8 november 2022 onder de opmerking daaraan niets is toe te voegen anders dan de informatie die is verstrekt met betrekking tot mijn vragen over het E­-archief (zie hierna onder 3.22).

2.12

Bij brief van 1 maart 2023 heb ik klager afschriften verstrekt van de reacties van de drie gerechtsbesturen. Klager is, gelet op het bepaalde in art. 9 van de Regeling in verbinding met art. 13b lid 3 RO, in de gelegenheid gesteld schriftelijk te reageren op de verstrekte inlichtingen. Klager heeft in zijn brief van 7 maart 2023 gereageerd. Samengevat is hij van oordeel dat de gerechtsbesturen in onvoldoende mate op zijn klachten hebben gereageerd.

2.13

In de volgende paragraaf ga ik nader in op het E-archief, de verbetermaatregelen die door de rechtspraak zijn genomen met het oog op de AVG-aspecten van het E-archief, en de door mij ontvangen inlichtingen van de besturen van de rechtbanken Noord-Nederland, Amsterdam en Den Haag over de inrichting en het gebruik van het E-archief bij deze rechtbanken.

3. Het E-archief

Algemeen

3.1

In 1997 verscheen de kabinetsnota 'Naar toegankelijkheid van overheidsinformatie'. Daarin wordt het belang benadrukt van de publicatie van een 'representatief beeld' van rechterlijke uitspraken. ^[11] De website 'rechtspraak.nl ' is hiertoe in december 1999 van start gegaan en beschikte vanaf de start over een databank met uitspraken. De Rechtspraak publiceert niet alle uitspraken. In het 'Besluit selectiecriteria uitsprakendatabank Rechtspraak.nl 2012' staat omschreven welke uitspraken in principe wel moeten worden gepubliceerd. Zo houdt art. 5 onder e) van genoemd Besluit kort gezegd in dat een uitspraak altijd wordt gepubliceerd indien de uitspraak een "jurisprudentievormend" karakter heeft. Art. 7 lid 1 van genoemd Besluit houdt in dat alle uitspraken die worden gepubliceerd, geanonimiseerd dienen te zijn volgens een daartoe vast te stellen anonimiseringsrichtlijn.

Tegelijkertijd ontstond ook de behoefte aan een intern jurisprudentie-informatiesysteem voor de zittende magistratuur. Hiertoe is in 2001
Porta luris gerealiseerd.
Porta luris omvatte onder andere de uitsprakendatabank van 'rechtspraak .nl' en 'huisdatabanken' van onder meer de Hoge Raad, de CRvB en het CBb. Van de huisdatabanken werd slechts in zeer beperkte mate gebruikgemaakt, omdat er veel handelingen moesten worden verricht om daarin een uitspraak op te nemen. In 2003 werd daarom besloten de opslag van uitspraken voor eigen gebruik binnen het eigen gerecht te vereenvoudigen. Daartoe is in 2004 het E­-archief ingericht. Het E-archief kreeg een eigen (fysieke) databank. De invoer van uitspraken in het E-archief is technisch gezien eenvoudig. ^[12]

3.2

Het E-archief is als interne rechtspraakdatabank uitsluitend toegankelijk voor geautoriseerde medewerkers van de Rechtspraak. Het E-archief bevat ongeanonimiseerde uitspraken ^[13] van gerechten, en daarmee persoonsgegevens van betrokkenen zoals justitiabelen, professionals en anderen, die ontsloten worden door middel van een IT-voorziening. De meeste ongeanonimiseerde uitspraken in het E-archief dateren van na 2013. Ook zijn er oudere uitspraken beschikbaar geworden door middel van het inlezen van bijvoorbeeld de huisdatabanken. Alleen definitieve uitspraken worden in het E-archief opgeslagen; hiertoe behoren ook tussenuitspraken en mondelinge uitspraken, maar geen conceptuitspraken. Tussen de 10% en 15% van alle uitspraken wordt geplaatst in het E-archief. De betrokken rechter of raadsheer beslist zelf of de uitspraak in het E-archief wordt opgenomen en neemt daarbij de verwerkingsdoelen in aanmerking. Uitspraken die zijn opgeslagen in het E-archief kunnen worden geraadpleegd op
Porta luris. Ongeveer een derde van deze uitspraken is in geanonimiseerde vorm - conform de Anonimiseringsrichtlijn - gepubliceerd op www.rechtspraak.nl.

Een doelmatige en rechtmatige toepassing van het E-archief is de gezamenlijke verantwoordelijkheid van de gerechten. Daartoe behoren activiteiten als de technische inrichting, de organisatie en ontwikkeling, het beheer en het bewaken van de compliancy­ voorschriften (bijv. een Privacy Impact Assessment, PIA). De Raad voor de rechtspraak en landelijke diensten worden daarbij betrokken. Te denken valt aan de lnformatievoorzieningsorganisatie (IVO), het Landelijk Dienstencentrum voor de Rechtspraak (LDCR) en het Bureau Raad voor de rechtspraak.

3.3

Bij de uitoefening van hun rechterlijke taken verwerken gerechten persoonsgegevens in de zin van de AVG. ^[14] Het begrip 'verwerken' omvat onder meer het opslaan, raadplegen en wissen van gegevens (art. 4 onder 2 AVG), ^[15] voor zover dit gebeurt op (gedeeltelijke) geautomatiseerde wijze of in een bestand (vgl. art. 2 lid 1 en art. 4 onder 6 AVG). Bij persoonsgegevens gaat het om alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (de betrokkene), zoals zijn/haar naam of beroep (art. 4 onder 1 AVG). ^[16] Buiten kijf staat dat het opslaan, raadplegen en wissen van persoonsgegevens (waaronder de eerder genoemde gegevens van klager) in het E-archief zijn aan te merken als verwerkingen in de zin van de AVG.

Informatie over het E-archief op rechtspraak.nl

3.4

Op www.rechtspraak.nl ^[17] is onder de knop 'privacy' informatie te vinden over onder meer de persoonsgegevens die binnen de rechtspraak worden verwerkt, waarom dit gebeurt en aan wie gegevens kunnen worden verstrekt. Onder deze knop wordt onder meer vermeld:

"Persoonsgegevens zijn noodzakelijk voor een goede en zorgvuldige rechtspleging en procesvoering. Procespartijen en hun gemachtigden moeten persoonsgegevens verstrekken aan de Rechtspraak zodat een correcte gerechtelijke procedure kan worden gevoerd."

en

"De Rechtspraak gebruikt uw persoonsgegevens die via de subdomeinen van rechtspraak.nl worden verzameld alleen voor het doel waarvoor u ze heeft achtergelaten."

3.5

Vervolgens kan de gebruiker voor nadere informatie doorklikken naar de 'Privacyverklaring'. Het E-archief wordt hier sinds het najaar van 2022 ook genoemd. Onder het kopje 'waarom verwerkt de rechtspraak uw persoonsgegevens?' is hierin opgenomen:

'Jurisprudentie databank

De Rechtspraak bewaart een selectie van uitspraken in een interne jurisprudentiedatabank. Dit stelt medewerkers in staat om kennis te nemen van uitspraken in vergelijkbare zaken. Dit bevordert de rechtszekerheid en de rechtseenheid. Deze databank is toegankelijk voor medewerkers voor wie dat met het oog op hun functie noodzakelijk is. De toegang is beperkt tot het rechtsgebied waarvoor zij zaken behandelen. Met het oog op wetenschappelijk onderzoek kunnen onderzoekers, na goedkeuring, inzage krijgen in de databank.'

Voorts is te lezen (onder de knoppen 'Registratie van persoonsgegevens', 'overzicht registratie van persoonsgegevens' en 'Jurisprudentie databank":

"Jurisprudentie databank

De Rechtspraak bewaart een selectie van uitspraken in een interne jurisprudentiedatabank. Dit stelt medewerkers in staat om kennis te nemen van uitspraken in vergelijkbare zaken. Dit bevordert de rechtszekerheid en de rechtseenheid.

Betrokkenen en persoonsgegevens

In uitspraken kunnen alle categorieën persoonsgegevens voorkomen, zowel gewone, gevoelige als bijzondere persoonsgegevens, alsook gerechtelijke strafgegevens en wettelijk identificerende persoonsgegevens.

Ontvangers aan wie gegevens kunnen worden verstrekt

Deze databank is toegankelijk voor medewerkers voor wie dat met het oog op hun functie noodzakelijk is. Denk hierbij aan rechters, gerechtsjuristen, forensisch medewerkers en stafjuristen. De toegang is beperkt tot het rechtsgebied waarvoor zij zaken behandelen. Met het oog op wetenschappelijk onderzoek kunnen onderzoekers, na goedkeuring, inzage krijgen in de databank.

Doorgifte van gegevens naar landen buiten de Europese Unie

Er worden geen persoonsgegevens aan het buitenland doorgegeven."

3.6

De hier bedoelde interne jurisprudentiedatabank is het al langer bestaande E-archief.

Het privacyreglement E-archief gerechten

3.7

Het 'privacyreglement e-archief gerechten' is een intern binnen de Rechtspraak gebruikt reglement. Het geeft weer op welke wijze de Rechtspraak toepassing geeft aan eisen die de AVG stelt aan verwerkingen van persoonsgegevens in het E-archief ten aanzien van aspecten zoals rechtmatigheid, doelbinding, integriteit en vertrouwelijkheid.

3.8

Het
privacyreglement E-archief van januari 2012 vermeldt als grondslag en doeleinden van het E-archief dat verwerking (en daarmee verstrekking) noodzakelijk is voor de behartiging van het gerechtvaardigd belang van de verantwoordelijke of van een derde aan wie de gegevens verstrekt worden in het kader van een goede rechtspleging en in het kader van een zorgvuldige en kwalitatief goede rechtspraak.

3.9

Het (thans geldende)
privacyreglement E-archief gerechten van maart 2022 vermeldt onder grondslag:

"De gegevens worden verwerkt in het kader van de wettelijk opgedragen taak om recht te spreken op basis van hoofdstuk 6 van de Grondwet, nader uitgewerkt in diverse wetten in formele zin."

En onder 'Verwerkingsdoelen' onder meer:

"Om de kwaliteit van de rechterlijke beslissingen te waarborgen en in het kader van de rechtseenheid is het van belang dat daartoe geautoriseerde rechters, stafjuristen, juridisch medewerkers en forensisch medewerkers kennis kunnen nemen van uitspraken in vergelijkbare zaken."

Ook is vermeld dat de Rechtspraak wetenschappelijk en beleidsmatig onderzoek op rechterlijke uitspraken door externe onderzoekers (van onderzoekinstellingen) en het WODC toestaat.

3.1

Een medewerker van een gerecht mag uitsluitend zoeken naar een voor het eigen werk relevante uitspraak binnen het eigen rechtsgebied. Medewerkers zijn gerechtsoverstijgend geautoriseerd per rechtsgebied indien dat noodzakelijk is voor de uitoefening van de functie. Daarnaast kunnen externe onderzoekers en medewerkers van het WODC tijdelijk worden geautoriseerd in het kader van wetenschappelijk onderzoek.

3.11

Het privacyreglement bepaalt dat "technische applicatieve logging plaats[vindt] voor het monitoren van het correct functioneren van de applicatie". Onder 'logging' kan worden verstaan een geautomatiseerde registratie van gegevens, die bedoeld is om bij te houden welke gebeurtenissen/ handelingen binnen een systeem hebben plaatsgevonden. Daarbij wordt gelogd welke zoekresultaten worden gebruikt en welke uitspraken worden opgevraagd. ^[18]

3.12

Het E-archief maakt het mogelijk om op naam te zoeken. Misbruik daarvan kan worden getraceerd doordat sprake is van 'logging', die kan worden gemonitord. Indien een medewerker ten onrechte zou zoeken op een bepaalde naam, kan dat aldus worden achterhaald en kunnen eventueel stappen worden ondernomen. ^[19]

Verbetermaatregelen AVG-aspecten E-archief

3.13

In het privacyreglement e-archief gerechten van januari 2012 ^[20] , de voorganger van het huidige reglement, was al opgenomen dat een medewerker uitsluitend mag zoeken naar een voor het eigen werk relevante uitspraak, maar zonder de toevoeging dat dit binnen het eigen rechtsgebied dient plaats te vinden. Ook bevatte het privacyreglement voorzieningen over maatregelen om de beveiliging van de verwerking te waarborgen. Verschillende aspecten, zoals logging en monitoring, waren nog onvoldoende tot ontwikkeling gekomen.

3.14

Tegen de achtergrond van het voorgaande heeft de FG voor de Rechtspraak in een memo van 6 september 2021 gedeeltelijk negatief geadviseerd over de inrichting van het E-archief. De FG constateerde dat er een te ruime toegang tot ongeanonimiseerde gegevens was ten opzichte van het doel van het E-archief.

3.15

Mede naar aanleiding van een Privacy Impact Assessment van het E-archief is door het Presidenten-Raad Overleg (PRO) op 26 november 2021 bepaald welke technische en organisatorische maatregelen genomen gaan worden om de toegang tot en inrichting van het E-archief te verbeteren op de korte, middellange en lange termijn. Besloten werd dat de gerechten op korte termijn zullen rapporteren over de resultaten van de reeds (in juli 2021) in gang gezette schoningsactie van autorisaties, dat de autorisaties beperkt gaan worden tot het niveau van rechtsgebieden, dat de logging en monitoring uitgebreid gaan worden en dat maatregelen genomen worden om de bewustwording te vergroten bij medewerkers.

3.16

Ter uitvoering van deze besluitvorming zijn maatregelen getroffen met het oog op de privacyaspecten van het E-archief.

3.17

Tot op heden heeft de Raad voor de rechtspraak drie voortgangsrapportages uitgebracht, waarin verslag wordt gedaan van de verbetermaatregelen. Deze houden samengevat en voor zover van belang het volgende in.

3.18

In de
rapportage van 4 november 2022 wordt ten eerste vermeld dat de autorisaties voor het E-archief vanaf 17 maart 2022 zijn beperkt tot het niveau van rechtsgebieden en dat, indien nodig, een medewerker geautoriseerd kan worden voor meerdere rechtsgebieden.

Ten tweede is de logging op orde gebracht. ^[21] Logging-gegevens mogen in ieder geval worden gebruikt bij (het vermoeden van) een datalek of beveiligingsincident en binnen de context van een formeel integriteitsonderzoek. Er is nog geen (periodieke) controle op gedragshandelingen van medewerkers door het ontbreken van een monitoringbeleid.

Ten derde is een aanvullende maatregel voor bescherming van gegevens gerealiseerd door een drempel op te werpen voor het zoeken in gegevens ouder dan 10 jaar. Die drempel houdt in dat de gebruiker een afzonderlijke opdracht dient te geven voor het zoeken in zaken ouder dan 10 jaar.

Voorts wordt vermeld dat naar verwachting de testperiode van de anonimiseringstool in het tweede kwartaal van 2023 wordt afgerond. Bij een positief testresultaat wordt toepassing voor grootschalig (en met terugwerkende kracht) anonimiseren en/of pseudonimiseren van uitspraken mogelijk. Elders wordt vermeld dat bij het 'full text' zoeken in het E-archief ook gezocht kan worden op namen in uitspraken, maar dat er geen mogelijkheid is om dit te blokkeren zonder deze hele zoekfunctie uit te schakelen. Aan de privacy van procesdeelnemers wordt in de toekomst tegemoetgekomen doordat alle oude uitspraken met terugwerkende kracht worden geanonimiseerd of gepseudonimiseerd, evenals alle toekomstige uitspraken voordat zij aan het E-archief worden toegevoegd.

3.19

In de
rapportage van 23 december 2022 wordt vermeld dat de gerechten en landelijke diensten (per locatie en meestal ook per applicatie of dienst) verschillende manieren toepassen waarmee autorisaties worden aangevraagd, gewijzigd, ingetrokken en gecontroleerd. De gerechten en landelijke diensten wordt gevraagd ieder kwartaal een controle uit te voeren op juistheid van enkelvoudige en meervoudige autorisaties E-archief, te starten in het eerste kwartaal van 2023. Verder zal in het eerste kwartaal van 2023 worden bepaald of een aanvullende uitvraag naar autorisatiebeheer E-archief bij gerechten en landelijke diensten wenselijk is.

Ten tweede heeft de opschoning van de autorisaties voor het E-archief in het erste kwartaal van 2022 een behoorlijk effect gehad op het terugbrengen van het aantal autorisaties. De werkgroep kan nog niet beoordelen of de autorisaties op een kwalitatief acceptabele manier worden toegekend. Dit komt door het ontbreken van een kader voor het toekennen van enkelvoudige en meervoudige autorisaties. Een aanbeveling luidt hiertoe een kader te formuleren.

3.2

In de
rapportage van 5 april 2023 wordt vermeld, ten eerste, dat een extra 'autorisatielaag' op subrechtsgebieden (met name voor het rechtsgebied Civiel door een scheiding te maken in subrechtsgebied Kanton/Handel en Familie & Jeugd) in de huidige omgeving te complex is. Vanuit het programma 'Meer én Verantwoord publiceren' wordt een nieuwe applicatieomgeving voorbereid waarin actuele eisen ten aanzien van indeling in subrechtsgebieden en autorisaties worden betrokken. Er is een project gestart voor verbetering van het autorisatieproces binnen gerechten en landelijke diensten. Onderdeel hiervan is de aanbeveling van de werkgroep E-archief om een periodieke controle uit te voeren op en kaders te formuleren voor het autorisatiebeheer van het E-archief.

Ten tweede is de testperiode voor de anonimiseringstool afgerond met een positief testresultaat. De anonimiseringstool herkent de juiste persoonsgegevens en geeft de juiste pseudoniemen mee. De namen van rechters, griffiers en advocaten blijven zichtbaar in de uitspraken die gepseudonimiseerd worden. Dat draagt bij aan de functionaliteit van het E­-archief om op eenvoudige wijze uitspraken op te zoeken. Hoewel de uitgevoerde snelheidsmeting laat zien dat er tijdswinst wordt bereikt met de tool, leidt die echter over een brede set van uitspraken niet tot een verdubbeling van de snelheid van pseudonimiseren. De oorzaak hiervan ligt met name in de menselijke controle achteraf. De resterende aandachtspunten voor de tool zijn (i) dat deze wel geschikt is voor straf- en civielrechtelijke uitspraken maar nog niet is getraind voor bestuursrechtelijke uitspraken,(ii) de omvang van het E-archief, (iii) de licentieafspraken en (iv) technische aspecten. De tool is een kortetermijnoplossing. Binnen het programma 'Meer én Verantwoord Publiceren' wordt gekeken naar een oplossing om achteraf pseudonimiseren (grotendeels) overbodig te maken, door bij het opstellen van een uitspraak al rekening te houden met het pseudonimiseren van de uitspraak. De conclusie is dat de tool - met aandachtspunten - voor het E-archief toepasbaar is. De directie IVO adviseert het PRO IVO opdracht te geven om de uitspraken in het E-archief grootschalig en met terugwerkende kracht te anonimiseren. Tot op heden is nog geen beslissing genomen door het PRO betreffende het al dan niet pseudonimiseren van het E-archief. Na het uitbrengen van de rapportage van 5 april 2023 is hiertoe nodig gebleken dat de hiervoor genoemde aandachtspunten zijn opgelost en dat een zogenaamde DPIA (Data protection impact assessment; een instrument om vooraf de privacyrisico's van een gegevensverwerking in kaart te brengen) wordt uitgevoerd. Voorts zal het met terugwerkende kracht pseudonimiseren van uitspraken in het E-archief (pas) van start gaan als er meer praktische ervaring is opgedaan met het pseudonimiseren van actuele uitspraken door de gerechten. Dat vermindert het risico op (systeem-)fouten bij het grootschalig en met terugwerkende kracht pseudonimiseren van het E-archief.

Ten derde is de logging van gebruikershandelingen van het E-archief gerealiseerd en vindt incidenteel logging plaats. Hiermee is na te gaan wie welke zoekvraag heeft gesteld en welke uitspraken door wie zijn geraadpleegd. Indien het vermoeden bestaat van eventuele schendingen van de privacywet- en regelgeving kan een gerecht als onderdeel van een integriteitsonderzoek bij voldoende noodzaak loggingsgegevens via IVO verkrijgen. Ook kunnen de handelingen van die medewerker worden gereconstrueerd via de logfiles.

Ten vierde is geconstateerd dat het stelselmatig (en geautomatiseerd) monitoren van gebruikershandelingen niet mogelijk is, kort gezegd omdat er binnen de loggegevens van gebruikershandelingen geen 'houvast' is voor het herkennen van het gebruik van namen. ^[22] De directie IVO heeft hierop geconcludeerd dat het zoeken naar signalen van oneigenlijk gebruik alleen handmatig kan plaatsvinden en dat een dergelijke procedure bij stelselmatige uitvoering te arbeidsintensief en niet-proportioneel is. De directie IVO vraagt de werkgroep E-archief na te gaan of de gerechten behoefte hebben aan de uitwerking van een procedure voor het handmatig (niet-stelselmatig) uitvoeren van monitoring van het gebruik van het E­-archief. De gerechten kunnen daarvoor worden gefaciliteerd met een dashboard. Indien het PRO besluit tot het grootschalig en met terugwerkende kracht pseudonimiseren van de uitspraken in het E-archief zal de behoefte aan de uitwerking van een handmatige (niet­ stelselmatige) procedure voor monitoring van het E-archief komen te vervallen.

Ten vijfde zal het invoerscherm van het E-archief worden voorzien van een extra melding om de bewustwording voor een juist gebruik te bevorderen.

3.21

Uit deze rapportages blijkt, samenvattend, het volgende.

(1) De bestaande autorisaties zijn opgeschoond, autorisaties worden in beginsel alleen per rechtsgebied verstrekt en er is aandacht (gevraagd) voor het bewaken van de actualiteit van autorisaties en een uniform kader voor het toekennen daarvan.

(2) Er is een drempel opgeworpen voor het zoeken in gegevens ouder dan 10 jaar.

(3) Er worden meldingen aan het zoekscherm toegevoegd om het bewustzijn ten aanzien van de privacyaspecten te vergroten.

(4) Logging is gerealiseerd, zodat bij een datalek of beveiligingsincident zo nodig achteraf kan worden nagegaan of oneigenlijk gebruik is gemaakt van het E-archief.

(5) Stelselmatige monitoring van het gebruik van het E-archief blijkt niet mogelijk te zijn. Eventueel kan worden voorzien in het handmatig niet-stelselmatig uitvoeren van monitoring. De noodzaak van monitoring vervalt als het E-archief is geanonimiseerd.

(6) In de toekomst wordt grootschalige anonimisering (of pseudonimisering) ^[23] van uitspraken in het E-archief, ook met terugwerkende kracht, voorzien als maatregel. Op dit moment is dat vanwege diverse openstaande aandachtspunten nog niet gerealiseerd.

Door de gerechtsbesturen verstrekte inlichtingen omtrent inrichting en gebruik van het E­ archief

3.22

De besturen van de rechtbanken Noord-Nederland, Amsterdam en Den Haag hebben op mijn verzoek inlichtingen verstrekt over de inrichting en het gebruik van het E-archief. De belangrijkste vragen met de daarop door de drie gerechten gegeven antwoorden luiden als volgt:

(1)
Wie is binnen uw gerecht geautoriseerd tot opname van uitspraken in het E-archief?

De drie besturen antwoorden dat alle rechters en gerechtsjuristen in het primair proces zijn geautoriseerd tot opname van uitspraken in het E-archief. Het bestuur van de rechtbank Den Haag voegt daaraan toe dat ook de informatiespecialist en aangewezen medewerkers van de administratie die tevens belast zijn met het anonimiseren van uitspraken ten behoeve van de publicatie op rechtspraak.nl zijn geautoriseerd.

(2)
Zijn er binnen uw rechtbank criteria ontwikkeld op basis waarvan de betrokken ambtenaren worden geautoriseerd en zo ja. welke criteria zijn dit en wie stelt deze criteria vast?

Rechtbank Noord-Nederland: In het privacyreglement e-archief gerechten is vastgelegd dat medewerkers gerechtsoverstijgend geautoriseerd zijn per rechtsgebied, indien noodzakelijk voor de uitoefening van de functie. De rechtbank Noord-Nederland volgt dit criterium.

Rechtbank Amsterdam: Autorisaties van het E-archief vinden plaats op basis van bedrijfsrollen die zijn vastgesteld door of namens het bestuur. In het privacyreglement is vastgelegd dat medewerkers slechts geautoriseerd zijn tot het eigen rechtsgebied. Medewerkers dienen het E-archief slechts te raadplegen indien dit noodzakelijk is voor de uitoefening van de functie.

Rechtbank Den Haag: Ja, de autorisaties van betrokken ambtenaren om uitspraken in het e-archief op te nemen zijn, conform het daartoe bepaalde in het Privacyreglement e-archief gerechten, in beginsel beperkt tot het eigen rechtsgebied (straf, civiel en/of bestuur). Daar waar een zaakstroom één rechtsgebied overstijgt (zoals bijvoorbeeld bij zaken op grond van de Wet administratiefrechtelijke handhaving verkeersvoorschriften en/of jeugdstrafzaken) kunnen door de teamvoorzitter/leidinggevende aan de medewerker die betrokken is bij deze zaakstroom rechtsgebied overstijgende autorisaties worden toegekend.

(3)
Wordt een juiste toepassing van autorisaties bewaakt en zo ja. door wie en op welke wijze?

Rechtbank Noord-Nederland: De medewerkers van functioneel beheer van IVO verlenen autorisaties, wijzigen deze of trekken autorisaties in, op verzoek van de leidinggevende.

Rechtbank Amsterdam: De bewaking van de juiste toepassing van autorisaties vindt op dit moment zodanig plaats dat bij indiensttreding, overplaatsing of uitdiensttreding door of namens de desbetreffende teamleiding deze mutatie wordt gecommuniceerd aan de afdeling Functioneel Beheer. Functioneel beheer past daarna de autorisaties dienovereenkomstig aan. De juistheid van de autorisaties wordt gemonitord door Functioneel beheer met behulp van geautomatiseerde 'controlequeries'. ^[24] .

Rechtbank Den Haag: In de mandaatregeling van de rechtbank is vastgelegd dat het toewijzen, wijzigen en/of intrekken van digitale autorisaties valt onder de verantwoordelijkheid van de teamvoorzitter respectievelijk de desbetreffende leidinggevende. De aanvraag voor het toekennen van autorisaties wordt gedaan door de managementondersteuner van het team. De teamvoorzitter/leidinggevende keurt deze aanvraag goed of wijst deze af. Indien de teamvoorzitter/leidinggevende de aanvraag goedkeurt, wordt de aanvraag beoordeeld door functioneel beheer, die - bij een positieve beoordeling - de bedoelde autorisatie technisch verleent. Bij wisseling van een medewerker van rechtsgebied neemt de managementondersteuner het initiatief tot het aanpassen van de desbetreffende autorisaties. Bij uitdiensttreding van een medewerker vervallen de verleende autorisaties per uitdiensttredingsdatum automatisch. Door functioneel beheer worden voorts incidenteel en op verzoek audits uitgevoerd op de juistheid en actualiteit van verleende autorisaties. Er wordt gewerkt aan een systeem waarbinnen dit op vaste terugkerende momenten gebeurt.

(4)
Wie is binnen uw gerecht geautoriseerd tot raadpleging van persoonsgegevens in het E­ archief?

Rechtbank Noord-Nederland: Gerechtsjuristen en rechters zijn standaard geautoriseerd tot raadpleging van uitspraken (met daarin persoonsgegevens) uit het eigen rechtsgebied in het E-archief. Op verzoek van hun leidinggevende kunnen ook medewerkers van de administratie of van bedrijfsvoering worden geautoriseerd tot het raadplegen van het E­ archief. Dat gebeurt alleen als dat nodig is voor het uitvoeren van de functie.

Rechtbank Amsterdam: Rechters, gerechtsjuristen, anonimiseringsmedewerkers, functioneel beheerders en enkele overige staffunctionarissen.

Rechtbank Den Haag: Binnen de rechtbank Den Haag zijn tot raadpleging van uitspraken in het e-archief rechters en gerechtsjuristen (als medewerkers in het primair proces) geautoriseerd. Voorts zijn de informatiespecialist en aangewezen medewerkers van de administratie die tevens belast zijn met het anonimiseren van uitspraken ten behoeve van de publicatie op rechtspraak.nl geautoriseerd.

(5)
Zijn er beperkingen met betrekking tot autorisaties voor de betrokken ambtenaren in verband met deze raadpleging en zo ja, wat houden deze beperkingen in?

Rechtbank Noord-Nederland: Gerechtsjuristen en rechters kunnen als regel uitsluitend de uitspraken uit het eigen rechtsgebied raadplegen. In het privacyreglement e-archief gerechten is vastgelegd dat medewerkers binnen het eigen rechtsgebied uitsluitend mogen zoeken naar een voor het eigen werk relevante uitspraak. Als dat nodig is voor het uitvoeren van de functie kan een medewerker voor meer dan één rechtsgebied een autorisatie hebben.

Rechtbank Amsterdam: Medewerkers mogen alleen persoonsgegevens in het E-archief raadplegen indien dit noodzakelijk is voor de uitoefening van de functie.

Rechtbank Den Haag: Ja, de autorisaties van betrokken ambtenaren om uitspraken in het e-archief te raadplegen zijn, conform het daartoe bepaalde in het Privacyreglement e-archief gerechten, in beginsel beperkt tot het eigen rechtsgebied. Daar waar een zaakstroom één rechtsgebied overstijgt, kunnen door de teamvoorzitter/leidinggevende aan de medewerker die betrokken is bij deze zaakstroom rechtsgebied overstijgende autorisaties worden toegekend.

(6)
Zijn er binnen uw rechtbank criteria ontwikkeld voor het raadplegen van het E-archief op naam van bijvoorbeeld partijen en/of gemachtigden en zo ja, welke?

Rechtbank Noord-Nederland: Nee, dergelijke criteria zijn er niet. Zie verder de antwoorden onder de vragen 'Wie is binnen uw gerecht geautoriseerd tot raadpleging van persoonsgegevens in het E-archief?' en 'Zijn er beperkingen met betrekking tot autorisaties voor de betrokken ambtenaren in verband met deze raadpleging en zo ja, wat houden deze beperking in?'

Rechtbank Amsterdam: De medewerker mag het E-archief raadplegen indien dit noodzakelijk is voor de uitoefening van de eigen werkzaamheden.

Rechtbank Den Haag: Nee, dergelijke criteria zijn er niet.

(7)
Wie beoordeelt binnen uw gerecht verzoeken tot verwijdering van persoonsgegevens uit het E-archief?

Rechtbank Noord-Nederland: Verzoeken kunnen worden gericht aan de coördinator informatieverzoeken. Zij wordt dan verantwoordelijk voor de beantwoording van de informatieverzoeken, onder eindverantwoordelijkheid van het gerechtsbestuur, gehoord de rechter die de uitspraak heeft gedaan en heeft gepubliceerd/heeft doen publiceren.

Rechtbank Amsterdam: Een verzoek tot verwijdering van persoonsgegevens uit het E­ archief komt bij de privacyfunctionaris terecht. Het bestuur beoordeelt na inbreng van de rechter.

Rechtbank Den Haag: Verzoeken kunnen worden gericht aan de coördinator informatieverzoeken privacy. Deze coördinator treedt bij een verzoek tot verwijdering van persoonsgegevens uit het e-archief in overleg met de teamvoorzitter van het rechtsgebied waarop het verzoek betrekking heeft. De beoordeling van het verzoek vindt plaats onder verantwoordelijkheid van het gerechtsbestuur.

(8)
Welke criteria worden bij deze beoordeling gehanteerd?

Rechtbank Noord-Nederland: Bij het verzoek tot verwijdering van persoonsgegevens wordt een belangenafweging gemaakt tussen de belangen van het opslaan van de uitspraak in het E-archief enerzijds en de belangen van verzoeker anderzijds.

Rechtbank Amsterdam: Bij de beoordeling worden de belangen van het archiveren van de uitspraak in het E-archief en de belangen van de verzoeker in het concrete geval afgewogen. Deze beoordeling is zeer casuïstisch van aard.

Rechtbank Den Haag: Het belang van openbaarheid en vindbaarheid van de rechtspraak (vakinhoudelijke kennisdeling en jurisprudentie) en de privacy van betrokkene.

3.23

Uit deze antwoorden blijkt, samenvattend, het volgende.

(1) De beslissing om een uitspraak op te nemen in het E-archief wordt genomen door rechters, gerechtsjuristen en bij de rechtbank Den Haag ook door enige andere bij de publicatie van uitspraken betrokken medewerkers. Ik neem aan dat de bedoelde gerechtsjuristen en anderen daarbij werken onder verantwoordelijkheid van de behandelend rechter.

(2) en (5) De autorisaties voor toegang tot het E-archief zijn, conform de landelijke uitgangspunten, in beginsel beperkt tot een bepaald rechtsgebied. Als dat nodig is voor de uitoefening van de functie, kan voor meer dan één rechtsgebied autorisatie worden verleend.

(3) De juiste toepassing van autorisaties wordt bewaakt door de leidinggevende binnen de rechtbank en de afdeling functioneel beheer van IVO.

(4) Geautoriseerd tot raadpleging van persoonsgegevens in het E-archief zijn rechters en gerechtsjuristen. Voorts kunnen geautoriseerd zijn anonimiseringsmedewerkers en andere staffunctionarissen, zoals de functioneel beheerder en de informatiespecialist.

(6) Er zijn geen afzonderlijke criteria ontwikkeld voor het raadplegen van het E-archief op naam van bijvoorbeeld partijen en/of gemachtigden.

(7) Verzoeken tot verwijdering van persoonsgegevens uit het E-archief worden behandeld door een daartoe aangestelde functionaris onder verantwoordelijkheid van het gerechtsbestuur, na raadpleging van de betrokken rechter of de teamvoorzitter.

(8) Bij de beoordeling van een verzoek tot verwijdering wordt per geval een afweging gemaakt tussen de (privacy)belangen van de verzoeker en de belangen die zijn gediend met opname van een uitspraak in het E-archief.

4.
De Regeling toezicht verwerking persoonsgegevens door gerechten en het parket bij de Hoge Raad

4.1

Na de voorgaande schets van de feiten en omstandigheden die aanleiding hebben gegeven tot deze vordering, besteed ik hierna eerst aandacht aan de Regeling die de grondslag vormt voor deze vordering. Zoals gezegd, gaat het om de eerste vordering die op deze Regeling is gebaseerd.

De AVG vereist een afzonderlijke toezichthouder

4.2

De aanleiding voor het opstellen van de Regeling is het gegeven dat het Unierecht een afzonderlijke toezichthouder vereist voor verwerkingen van persoonsgegevens door gerechten bij de uitoefening van hun rechterlijke taken.

4.3

De AVG is, vanaf 25 mei 2018, ook van toepassing op activiteiten van de gerechten, voor zover deze niet zien op strafzaken (zie art. 2 lid 2 onder d AVG). De Nederlandse wetgever heeft de AVG, waar zij dat toelaat, nader uitgewerkt in de Uitvoeringswet Algemene verordening gegevensbescherming (de 'UAVG'). ^[25]

Voor strafzaken geldt, in plaats van de AVG, de Richtlijn gegevensbescherming opsporing en vervolging (verder: de Richtlijn). ^[26] Deze richtlijn is in Nederland geïmplementeerd door wijziging van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens, alsmede het Besluit politiegegevens, het Besluit justitiële en strafvorderlijke gegevens en het Besluit politiegegevens bijzondere opsporingsdiensten. ^[27] In het vervolg concentreer ik mij op de AVG en laat ik de Richtlijn buiten beschouwing, tenzij anders aangegeven.

4.4

Het toezicht op de verwerkingen van persoonsgegevens "door gerechten bij de uitoefening van hun rechterlijke taken" is op grond van art. 55 lid 3 AVG onttrokken aan het toezicht door de reguliere toezichthouder. In Nederland fungeert de Autoriteit Persoonsgegevens (hierna: AP) als reguliere toezichthouder. De considerans (overweging (20)) van de AVG vermeldt hierover:

"De competentie van de toezichthoudende autoriteiten mag zich niet uitstrekken tot de verwerking van persoonsgegevens door gerechten in het kader van hun gerechtelijke taken, zulks teneinde de onafhankelijkheid van de rechterlijke macht bij de uitoefening van haar rechterlijke taken, waaronder besluitvorming, te waarborgen. Het toezicht op die gegevensverwerkingen moet kunnen worden toevertrouwd aan specifieke instanties binnen de rechterlijke organisatie van de lidstaat, die met name de naleving van de regels van deze verordening moeten garanderen, leden van de rechterlijke macht van hun verplichtingen krachtens deze verordening sterker bewust moeten maken, en klachten met betrekking tot die gegevensverwerkingen moeten behandelen."

4.5

De Richtlijn bevat een vergelijkbare regeling van het toezicht. Art. 45 lid 2 van de Richtlijn bepaalt onder meer dat elke lidstaat voorschrijft dat elke toezichthoudende autoriteit belast is met het toezicht op verwerkingen "door gerechten in het kader van hun rechterlijke taken". De considerans (onder (80)) van de Richtlijn vermeldt hierover:

"Hoewel deze richtlijn ook van toepassing is op de activiteiten van nationale gerechten en andere rechterlijke autoriteiten, dient de competentie van de toezichthoudende autoriteiten zich niet uit te strekken tot de verwerking van persoonsgegevens door gerechten in het kader van hun taken, teneinde de onafhankelijkheid van rechters bij de uitvoering van hun gerechtelijke taken te vrijwaren. Die vrijstelling dient beperkt te blijven tot gerechtelijke activiteiten in het kader van rechtszaken en niet te gelden voor andere activiteiten die rechters overeenkomstig het lidstatelijke recht verrichten. (...) De naleving van de regels van deze richtlijn door gerechten en andere onafhankelijke rechterlijke autoriteiten is in elk geval altijd onderworpen aan onafhankelijk toezicht in overeenstemming met artikel 8, lid 3, van het Handvest. ^[28]

Het toezicht op de gerechten berust dus volgens de AVG en de Richtlijn enerzijds bij de AP en anderzijds bij de bijzondere toezichthouder. ^[29] De afbakening van beider competenties hangt af van de vraag of sprake is van verwerking van persoonsgegevens "door gerechten bij de uitoefening van hun rechterlijke taken". In lijn hiermee bepaalt art. 51h lid 7 van de Wet justitiële en strafvorderlijke gegevens dat de AP niet is belast met het toezicht op de verwerking van gerechtelijke strafgegevens door de gerechten, bedoeld in artikel 2 van de RO, in het kader van de uitoefening van hun rechterlijke taken.

4.6

Uit HvJ 24 maart 2022, C-245/20 (X en Z/Autoriteit Persoonsgegevens ^[30] ) volgt dat het begrip 'rechterlijke taken' ruim moet worden opgevat. Het betrof een Nederlandse zaak, waarin de vraag centraal stond of het geven van inzage in processtukken aan journalisten door de Afdeling bestuursrechtspraak van de Raad van State (hierna: ABRvS) valt onder de toezichthoudende taak van de AP. Zowel de AG Bobek als het HvJ kwam tot de slotsom dat het tot de 'rechterlijke taken' in de zin van art. 55 lid 3 AVG behoort om uit een gerechtelijke procedure afkomstige stukken waarin persoonsgegevens zijn opgenomen tijdelijk ter beschikking te stellen aan journalisten om hen in staat te stellen beter verslag te doen van het verloop van die procedure. Het HvJ overwoog daartoe:

"34 De verwijzing in artikel 55, lid 3, van verordening 2016/679 naar verwerkingen door gerechten "bij de uitoefening van hun rechterlijke taken" moet in de context van deze verordening derhalve aldus worden opgevat dat zij niet enkel ziet op verwerkingen van persoonsgegevens door gerechten in het kader van concrete zaken, maar in ruimere zin betrekking heeft op alle verwerkingen door gerechten in het kader van de uitoefening van hun rechterlijke werkzaamheden, zodat verwerkingen waarbij het toezicht door de toezichthoudende autoriteit direct of indirect van invloed kan zijn op de onafhankelijkheid van hun leden of op hun beslissingen, buiten de competentie van deze autoriteit vallen.

(...)

37 Met betrekking tot een verwerking als die aan de orde in het hoofdgeding moet worden vastgesteld dat, onverminderd de nakoming van de materiële verplichtingen uit hoofde van verordening 2016/679, onder meer verwerkingen van persoonsgegevens door gerechten in het kader van hun communicatiebeleid in zaken waarin zij uitspraak moeten doen, zoals die welke bestaan in het tijdelijk ter beschikking stellen aan journalisten van stukken uit een gerechtelijke procedure om hen in staat te stellen daarvan verslag te doen, op grond van artikel 55, lid 3, van deze verordening buiten de competentie van de toezichthoudende autoriteit vallen.

38 Het bepalen, gelet op het voorwerp en de context van een bepaalde zaak, welke informatie uit een dossier van een gerechtelijke procedure aan journalisten mag worden verstrekt met het doel hen in staat te stellen verslag uit te brengen over het verloop van de gerechtelijke procedure of bepaalde aspecten van een gewezen beslissing toe te lichten, houdt namelijk duidelijk verband met de uitoefening door die gerechten van hun "rechterlijke taken". Het toezicht daarop door een externe autoriteit zou de onafhankelijkheid van de rechterlijke macht in het algemeen in gevaar kunnen brengen.

39 Gelet op een en ander dient op de prejudiciële vraag te worden geantwoord dat artikel 55, lid 3, van verordening 2016/679 aldus moet worden uitgelegd dat het tot de uitoefening door een gerecht van zijn "rechterlijke taken" in de zin van deze bepaling behoort om uit een gerechtelijke procedure afkomstige stukken waarin persoonsgegevens zijn opgenomen tijdelijk ter beschikking te stellen aan journalisten om hen in staat te stellen beter verslag te doen van het verloop van die procedure." ^[31]

4.7

Het HvJ EU overwoog voorts (onder punt 35) dat de aard en het doel van de verwerking door een gerecht aanwijzingen vormen waaruit kan blijken dat die verwerking deel uitmaakt van de uitoefening door dat gerecht van zijn rechterlijke taken. De zinsnede 'de uitoefening van hun rechterlijke taken' moet dus ruimer worden opgevat dan verwerkingen van persoonsgegevens door gerechten in het kader van concrete zaken.

4.8

Gezien het voorgaande, staat buiten kijf dat de verwerkingen van persoonsgegevens in uitspraken in het E-archief vallen onder de competentie van de bijzondere toezichthouder als bedoeld in art. 55 lid 3
AVG.

Totstandkoming en reikwijdte van de Regeling

4.9

In de memorie van toelichting bij de UAVG is vermeld dat het aan de rechterlijke instanties zelf is om te voorzien in het toezicht op de gegevensverwerking door gerechten en andere rechterlijke autoriteiten in het kader van hun rechterlijke taken; de UAVG bevat hierover geen regels. ^[32]

4.1

De rechtbanken, gerechtshoven, de Hoge Raad en het parket bij de Hoge Raad hebben ervoor gekozen om het toezicht op de verwerking van persoonsgegevens in het kader van de uitoefening van hun rechterlijke taken toe te vertrouwen aan door hen aangewezen functionarissen voor gegevensbescherming (hierna: FG's) en de procureur-generaal bij de Hoge Raad (hierna ook: PGHR). Dit is vastgelegd in de Regeling, die is vastgesteld door de procureur-generaal bij de Hoge Raad, gehoord de Raad voor de rechtspraak en de presidenten van de rechtbanken, gerechtshoven en de Hoge Raad. De Regeling is in werking getreden op 25 mei 2018. ^[33] De Regeling heeft betrekking op de gerechten bedoeld in art. 2 RO (de rechtbanken, gerechtshoven en de Hoge Raad) en op het parket bij de Hoge Raad. Er is in deze opzet gekozen voor een rolverdeling tussen de FG's en de PGHR.

4.11

Een FG is kort gezegd een interne toezichthouder, die controleert of de organisatie de AVG goed toepast en die erop toeziet dat betrokkenen hun privacyrechten kunnen uitoefenen. ^[34] FG's dienen in staat te zijn hun taken en verplichtingen onafhankelijk te vervullen, ongeacht of zij in dienst zijn van de verwerkingsverantwoordelijke. ^[35] Zie voor hun taken artikel 5 van de Regeling.

Op landelijk niveau is een FG bij de Rechtspraak aangesteld. De FG houdt intern toezicht bij de rechtbanken, de gerechtshoven, de Centrale Raad van Beroep (hierna: CRvB) en het College van Beroep voor het bedrijfsleven (hierna: CBb). Het toezicht ziet op de gegevensverwerking binnen de Rechtspraak, ongeacht of dit in het kader van de uitoefening van de rechterlijke taak plaatsvindt. Bij de rechtbanken en gerechtshoven zijn daarnaast onder meer zogenaamde beveiligingscoördinatoren werkzaam, die onder andere als taak hebben te controleren op een juiste uitvoering van de wetgeving inzake gegevensbescherming.

Ook bij de gemeenschappelijke organisatie van de Hoge Raad en het parket bij de Hoge Raad is een FG aangesteld. Diens toezicht ziet op de gegevensverwerking binnen de gemeenschappelijke organisatie van de Hoge Raad, ongeacht of deze in het kader van de uitoefening van de rechterlijke taak plaatsvindt.

4.12

Het (externe) toezicht van de PGHR betreft alleen verwerkingen van persoonsgegevens "in het kader van de uitoefening van hun gerechtelijke taken" door de rechtbanken, de gerechtshoven, de Hoge Raad (als gerecht) en het parket bij de Hoge Raad (zie art. 1 Regeling). In de Regeling wordt onder verwerking van persoonsgegevens in het kader van de uitoefening van gerechtelijke taken verstaan: "alle verwerkingen van persoonsgegevens die plaatsvinden in het kader van rechtszaken" (art. 2). Bij de totstandkoming van de Regeling werd met betrekking tot dit begrip een ruim toepassingsbereik voorgestaan. Hierbij werd overigens niet beoogd af te wijken van de AVG, zoals blijkt uit de opmerking (in voetnoot 6 van de Regeling) dat de verenigbaarheid van de nationale invulling van het begrip 'gerechtelijke taken' met het Unierecht is voorbehouden aan het Hof van Justitie van de Europese Unie. De reikwijdte van het toezicht van de PGHR op basis van de Regeling moet Unierechtconform worden uitgelegd, in het bijzonder in overeenstemming met de AVG en de Richtlijn, zoals deze door het HvJ EU worden uitgelegd (zie hiervoor onder 3.6).

4.13

Het (externe) toezicht van de PGHR strekt zich niet uit tot de bestuursrechtelijke colleges - de Afdeling bestuursrechtspraak van de raad van State (ABRvS), de Centrale Raad van Beroep (CRvB) en het College van Beroep voor het bedrijfsleven (CBb) - die een eigen gezamenlijke Regeling verwerking persoonsgegevens bestuursrechtelijke colleges hebben. ^[36] De drie colleges hebben gezamenlijk de AVG-commissie bestuursrechtelijke colleges ingesteld. Deze commissie adviseert de voorzitter van de ABRvS, het gerechtsbestuur van de CRvB respectievelijk het CBb over de afdoening van klachten ten behoeve van een (nadere) beslissing op het desbetreffende verzoek om toepassing van de in de AVG genoemde privacy-rechten. De commissie heeft daarbij tot taak te beoordelen of bij de verwerking van de persoonsgegevens van de klager inbreuk is gemaakt op de AVG.

De toezichthoudende taak van de PGHR volgens de Regeling en de grondslag daarvoor

4.14

De toezichthoudende taken van de PGHR houden het volgende in (art. 6 van de Regeling):

a. Het monitoren en handhaven van de toepassing van de AVG en de krachtens de Richtlijn vastgestelde bepalingen door de gerechten ^[37] en het parket bij de Hoge Raad bij de uitoefening van hun gerechtelijke taken. Dit behelst geen sanctie- of interventiebevoegdheid. Dat betekent dat er bijvoorbeeld geen boetes kunnen worden opgelegd. De toezichthoudende taak van de PGHR brengt mee dat verwerkingsverantwoordelijken kunnen worden aangesproken en dat een onderzoek naar de gedraging (wijze van verwerking persoonsgegevens) kan worden gevorderd bij de Hoge Raad (voetnoot 19 van de Regeling).

b. Het in samenwerking met de FG's bevorderen van bekendheid met en inzicht in de risico's, regels, waarborgen en rechten in verband met de verwerking.

c. Het behandelen van klachten van betrokkenen (art. 7 tot en met art. 17 van de Regeling).

d. Het bijhouden van een register van inbreuken op de AVG ^[38] en de krachtens de Richtlijn vastgestelde bepalingen - zogenaamde 'datalekken' - en de maatregelen die naar aanleiding daarvan zijn getroffen (art. 18 van de Regeling).

De PGHR stelt jaarlijks een verslag over zijn activiteiten op, met daarin mogelijk een lijst van de soorten klachten en gemelde inbreuken en de eventueel ingestelde vorderingen bij de Hoge Raad (art. 19 van de Regeling). Dit verslag maakt deel uit van het jaarverslag van de Hoge Raad.

4.15

Het bij de PGHR belegde toezicht hangt samen met het bepaalde in art. 121 RO, dat inhoudt dat de PGHR in het bijzonder waakt voor de handhaving en uitvoering van wettelijke voorschriften bij de Hoge Raad, de gerechtshoven en de rechtbanken. ^[39]

4.16

Voor de klachtbehandeling is zoveel mogelijk aangesloten bij het bepaalde in art. 13a e.v. RO (art. 9 van de Regeling). Hiermee wordt, voor zoveel nodig, voorzien in een wettelijke grondslag voor de klachtbehandeling op voet van de Regeling.

De ontstaansgeschiedenis van art. 13a RO biedt steun voor het beleggen bij de PGHR en de Hoge Raad van de behandeling van klachten over gegevensverwerking door gerechten bij de uitoefening van hun rechterlijke taken. In het verleden is er naar aanleiding van het advies van de Raad van State ^[40] van afgezien de Nationale ombudsman te belasten met de behandeling van klachten over gedragingen van rechters, in verband met de door de Grondwet vereiste onafhankelijkheid. De klachtbehandeling is vervolgens bij de PGHR en de Hoge Raad belegd. Ook voor klachten over gegevensverwerking geldt, zo bleek hiervoor (onder 4.4), de ratio van waarborgen van de onafhankelijkheid van de zittende magistratuur.

4.17

In de Regeling wordt (in een voetnoot) tot uitdrukking gebracht dat de Hoge Raad in een voorgelegde zaak zou kunnen beslissen dat klachten over de verwerking van persoonsgegevens niet kunnen worden aangemerkt als klacht als bedoeld in de klachtenregeling ex art. 13a e.a. RO, en dat het in dat geval aan de wetgever is om een regeling te treffen die specifiek is toegesneden op klachten over de verwerking van persoonsgegevens door gerechten (en het parket bij de Hoge Raad) in het kader van de uitoefening van hun gerechtelijke taken. Ik meen dat de huidige Regeling, waarin zoveel mogelijk wordt aangesloten bij de procedure van art. 13a e.v. RO, als basis voldoet. ^[41] De vraag of (tevens) een meer specifieke voorziening in een wet in formele zin wenselijk is, kan ter beoordeling van de wetgever blijven.

4.18

De klachtbehandeling op voet van de Regeling wijkt op een aantal punten af van de reguliere wijze van klachtbehandeling op voet van art. 13a e.v. RO. Ik bespreek hieronder de relevante verschillen. Daarbij gaat het om de vraag over wiens gedragingen worden geklaagd, over welke gedragingen kan worden geklaagd en wat de toetsingsmaatstaf is.

Op wiens handelen ziet de Regeling?

4.19

De wettelijke klachtregeling betreft de wijze waarop een
rechterlijk ambtenaar met rechtspraak belast zich in de uitoefening van zijn functie heeft gedragen (art. 13a lid 1 RO). ^[42] De Regeling is daarentegen niet specifiek gericht op bepaalde personen, maar op de verwerking van persoonsgegeven door gerechten bij de uitoefening van hun rechterlijke taken. De vraag wie in dat kader de persoonsgegevens heeft verwerkt - een rechterlijk ambtenaar, een griffier of een ander ^[43] - is niet bepalend voor de beoordeling of een klacht in de zin van de Regeling kan worden ingediend.

De Regeling bepaalt dan ook in algemene zin dat iedere betrokkene het recht heeft een klacht in te dienen bij de PGHR, indien hij van mening is dat de verwerking
door gerechten of het parket bij de Hoge Raad van hem betreffende persoonsgegevens in het kader van de uitoefening van hun gerechtelijke taken inbreuk maakt op de AVG of de krachtens de Richtlijn vastgestelde bepalingen (art. 7).

4.2

Wel relevant is wie de
verwerkingsverantwoordelijke als bedoeld in art. 4 onder 7 AVG is. ^[44] Deze is immers verantwoordelijk voor, kort gezegd, de naleving van de AVG (vgl. art. 5 lid 2 AVG). Art. 3 van de Regeling wijst bij de rechtbanken en de gerechtshoven het gerechtsbestuur aan als verwerkingsverantwoordelijke. De handelingen van rechterlijke ambtenaren en anderen worden, waar deze handelingen verwerkingen van persoonsgegevens in de zin van de AVG betreffen, toegerekend aan het gerechtsbestuur als verwerkingsverantwoordelijke.

Om deze reden richt deze vordering zich uitsluitend tegen de gerechtsbesturen van de drie betrokken rechtbanken.

4.21

Het voorgaande betekent niet dat het gerechtsbestuur als verwerkingsverantwoordelijke zeggenschap heeft over alle verwerkingen van persoonsgegevens door bij het gerecht werkzame personen bij de uitoefening van hun rechterlijke taken. In het bijzonder rechters hebben bepaalde verantwoordelijkheden binnen het zogeheten rechterlijk domein die buiten de invloedssfeer van het gerechtsbestuur vallen.

Het gerechtsbestuur is belast met de algemene leiding, de organisatie en de bedrijfsvoering van het gerecht (art. 23 lid 1 RO) en kan ter uitvoering daarvan alle bij het gerecht werkzame ambtenaren algemene en bijzondere aanwijzingen geven (art. 24 lid 1 RO). Het bestuur kan daarbij echter niet treden in de procesrechtelijke behandeling van, de inhoudelijke beoordeling van alsmede de beslissing in een concrete zaak of in categorieën van zaken (art. 23 lid 2 en 24 lid 2 RO). ^[45] De omstandigheid dat het bestuur niet kan treden in het rechterlijk domein brengt mee dat het gerechtsbestuur evenmin zeggenschap heeft over de verwerking van persoonsgegevens binnen het rechterlijk domein. Zo bepaalt de rechter zelfstandig welke (persoons)gegevens in de uitspraak worden opgenomen.

4.22

Ook voor griffiers geldt dat zij in bepaalde gevallen persoonsgegevens verwerken op grond van hun zelfstandige wettelijke bevoegdheden. ^[46] Voorts geldt in verband met de rechterlijke onafhankelijkheid, dat een gerechtsambtenaar die griffierswerkzaamheden verricht ten behoeve van een rechterlijk ambtenaar met rechtspraak belast (bijvoorbeeld het schrijven van een proces-verbaal van een zitting) alleen verplicht is te voldoen aan de (procesrechtelijke) aanwijzingen van die rechterlijk ambtenaar en uitdrukkelijk niet aan de aanwijzingen van het bestuur. ^[47]

4.23

Opmerking verdient dat een persoon die binnen de organisatie van de verwerkingsverantwoordelijke gegevens verwerkt, geen 'verwerker' is in de zin van art. 4 onder 8 AVG. ^[48] De daar bedoelde verwerker staat in beginsel buiten de organisatie van de verwerkingsverantwoordelijke, handelt volgens diens instructies (vgl. art. 29 AVG) en verricht zijn taken op basis van een met de verwerkingsverantwoordelijke gesloten overeenkomst of andere rechtshandeling als bedoeld in art. 28 lid 3 AVG. ^[49]

4.24

Het voorgaande betekent dat het gerechtsbestuur als verwerkingsverantwoordelijke het aanspreekpunt is voor klachten over verwerkingen van persoonsgegevens binnen het rechterlijk domein, ook al strekt de beslissingsbevoegdheid van het bestuur zich niet uit tot de beslissing die heeft geleid tot de verwerking waarover wordt geklaagd. Bij een vordering op de voet van de Regeling wordt de Hoge Raad verzocht om te beoordelen of het betrokken gerechtsbestuur zich al dan niet behoorlijk heeft gedragen (art. 13f lid 1, tweede volzin, RO).

Waartoe strekt het toezicht zich uit?

4.25

De reguliere klachtenregeling trekt in art. 13a lid 1 RO de grens van het toezicht bij gedragingen van rechters bij
rechterlijke beslissingen. Klachten daarover zijn uitgesloten, kort gezegd, omdat deze beslissingen in het kader van het stelsel van rechtsmiddelen aan de orde moeten worden gesteld. Van belang hierbij is dat onder een 'rechterlijke beslissing' niet enkel wordt verstaan de uiteindelijke beslissing, maar ook de totstandkoming en motivering van de beslissing en de beslissingen die een rechter neemt tijdens de procedure, bijvoorbeeld over de gang van zaken op een zitting.

4.26

In het kader van de Regeling wordt de grens iets anders getrokken dan in art. 13a lid 1 RO. Volgens art. 11 van de Regeling kan niet worden geklaagd over de
zakelijke inhoud van een rechterlijke beslissing. Dit sluit niet uit dat voor het overige wel kan worden geklaagd over een rechterlijke beslissing. De grens van het toezicht wordt dus gevormd door de
zakelijke inhoud van rechterlijke beslissingen.

In een voetnoot in de Regeling wordt de ratio hiervan toegelicht. Daarin staat dat, voor zover het klachten over de verwerking van persoonsgegevens in rechterlijke beslissingen betreft, een standaardverwijzing naar het rechtsmiddelenstelsel in het licht van de AVG en de Richtlijn niet adequaat is. Van een procespartij kan niet worden verlangd een rechtsmiddel in te stellen tegen een rechterlijke beslissing indien hij of zij slechts bezwaren heeft tegen de verwerking van zijn persoonsgegevens en niet tegen de zakelijke inhoud van de rechterlijke beslissing. Voorts kunnen in de beslissing ook persoonsgegevens zijn verwerkt van derden die geen rechtsmiddel tegen de beslissing kunnen instellen.

De afbakening van wat wel en niet behoort tot de
zakelijke inhoud van rechterlijke beslissingen als bedoeld in art. 11 van de Regeling zal in de praktijk gestalte moeten krijgen. ^[50]

De toetsingsmaatstaf

4.27

De in art. 13a lid 1 RO bedoelde gedragingen betreffen, kort gezegd, bejegeningskwesties. Hierop is de toetsingsmaatstaf van art. 13f RO - behoorlijkheid - toegesneden. In het kader van de Regeling gaat het niet zozeer om bejegening, maar om de vraag of de verwerking van persoonsgegevens voldoet aan de eisen die de AVG daaraan stelt. Ter vergelijking kan worden gewezen op de opmerking in de memorie van toelichting bij het wetsvoorstel strekkende tot invoering van de UAVG over het verschil tussen een klacht in de zin van de Awb en een op de AVG (de verordening) gebaseerde klacht bij de AP:

"Het woord klacht heeft in de verordening een eigen, en van de Awb afwijkende, betekenis. In de Awb heeft het woord klacht betrekking op de wijze waarop een bestuursorgaan zich in een bepaalde aangelegenheid jegens hem of een ander heeft gedragen, en de klacht wordt ingediend bij het bestuursorgaan zelf. In de verordening wordt er daarentegen bij de toezichthoudende autoriteit een klacht ingediend over de verwerking van persoonsgegevens door een verwerkingsverantwoordelijke. De klacht wordt ingediend omdat de klager meent dat de verwerking van persoonsgegevens niet rechtmatig is; het gaat hierbij dus niet zozeer om bejegening, zoals in de Awb." ^[51]

4.28

De behoorlijkheidsmaatstaf van art. 13f RO is ruim genoeg geformuleerd om toetsing aan de AVG te omvatten. ^[52] In het kader van de Regeling geldt aldus als toetsingsmaatstaf of de verwerking, waarvoor het gerechtsbestuur verantwoordelijk is, behoorlijk is in de zin dat zij voldoet aan de daaraan door de AVG gestelde eisen. ^[53] Op deze eisen wordt in paragraaf 5 nader ingegaan.

5. De aan verwerkingen te stellen eisen

Algemeen

5.1

Bescherming van persoonsgegevens is een grondrecht dat wordt gewaarborgd door onder meer art. 8 EVRM, dat voorziet in het recht op eerbiediging van privé-, familie- en gezinsleven, en art. 10 Grondwet, inhoudende dat ieder, behoudens bij of krachtens de wet te stellen beperkingen, recht heeft op eerbiediging van zijn persoonlijke levenssfeer. Het Unierechtelijke recht op bescherming van persoonsgegevens is gewaarborgd in art. 8 lid 1 van het Handvest van de grondrechten van de Europese Unie en is uitgewerkt in de AVG. ^[54]

5.2

Het door art. 8 van het Handvest gewaarborgde grondrecht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moeten worden beschouwd in relatie tot zijn functie in de samenleving en moet worden afgewogen tegen andere grondrechten. Beperkingen zijn dan ook mogelijk, mits deze - overeenkomstig artikel 52, lid 1, van het Handvest - bij wet worden gesteld en de wezenlijke inhoud van de grondrechten alsook het evenredigheidsbeginsel eerbiedigen. Op grond van dit beginsel kunnen beperkingen slechts worden gesteld indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de noodzaak om de rechten en vrijheden van anderen te beschermen. Zij moeten binnen de grenzen van het strikt noodzakelijke blijven en de regeling die de inmenging in de grondrechten in kwestie impliceert, moet duidelijke en nauwkeurige regels bevatten over de draagwijdte en de toepassing van de betreffende maatregel. ^[55]

5.3

De bescherming van persoonsgegevens heeft dus geen absolute gelding, maar moet worden afgewogen tegen andere grondrechten en beginselen, waaronder het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht. ^[56]

5.4

Art. 5 lid 1 AVG bepaalt van welke beginselen moet worden uitgegaan bij verwerking van persoonsgegevens. Persoonsgegevens moeten:

"a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is ("rechtmatigheid, behoorlijkheid en transparantie");

b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd ("doelbinding");

c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt ("minimale gegevensverwerking");

d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren ("juistheid");

e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is;persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen ("opslagbeperking"};

f} door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging ("integriteit en vertrouwelijkheid"}."

5.5

Deze beginselen worden uitgewerkt in de art. 6 e.v. AVG.

Grondslag voor verwerking en voor verdere verwerking door gerechten

5.6

Art. 6 AVG bepaalt wanneer een verwerking van persoonsgegevens als rechtmatig (zie art. 5 lid 1 onder a) kan worden aangemerkt. ^[57] Als grondslag voor verwerkingen van persoonsgegevens door gerechten in het kader van gerechtelijke taken dient art. 6 lid 1 onder e: 'de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen'. ^[58] In HvJ EU 4 mei 2023, C-60/22, ECLl:EU:C:2023:373
(UZ tegen Bondsrepubliek Duitsland), overweegt het HvJ EU hierover: ^[59]

"73. Wanneer een rechterlijke instantie de rechterlijke bevoegdheden uitoefent die haar krachtens het nationale recht zijn toegekend, moet ervan uit worden gegaan dat de door die rechterlijke instantie uit te voeren verwerking van persoonsgegevens noodzakelijk is voor het in artikel 6, lid 1, eerste alinea, onder e}, van die verordening geformuleerde doeleinde betreffende de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen."

In art. 6 lid 3 AVG is bepaald dat het doel van de verwerking als bedoeld onder art. 6 lid 1 onder e AVG noodzakelijk moet zijn voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend.

5.7

In de memorie van toelichting bij de UAVG is in verband met de in art. 6 lid 1 onder e AVG bedoelde verwerkingsgrondslag opgemerkt dat het doel van de gegevensverwerking naar zijn aard gebonden is aan de uitoefening van de publieke taak, en dat de ruimte voor gegevensverwerking hierin zijn begrenzing vindt. De wettelijke grondslag voor uitvoering van de publieke taak kan worden beschouwd als grondslag voor de verwerking van persoonsgegevens, zonder dat vereist is dat in de sectorspecifieke regelgeving ook expliciet is opgenomen dat ten behoeve van de vervulling van de wettelijke taak gegevens verwerkt mogen worden. ^[60]

5.8

Het bestaan van een rechtsgrond voor verwerking van persoonsgegevens impliceert de mogelijkheid om deze gegevens, binnen bepaalde grenzen, verder te mogen verwerken. Het vereiste van doelbinding van art. 5 lid onder b AVG verzet zich daartegen niet.

5.9

Uit art. 6 lid 4 AVG volgt dat verdere verwerking is toegestaan als zij berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in art. 23 lid 1 bedoelde doelstellingen. Art. 23 lid 1 AVG noemt onder meer: belangrijke doelstellingen van algemeen belang van de Unie of van de lidstaat (onder e), de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures (onder f), de bescherming van de betrokkene of van de rechten en vrijheden van anderen (onder i) en de inning van civielrechtelijke vorderingen (onder j).

5.1

Voorts is verdere verwerking toegestaan als het doel daarvan verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld. ^[61]

Bij de beoordeling van die vraag moet de verwerkingsverantwoordelijke onder meer rekening houden met: (i) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld en de doeleinden van de voorgenomen verdere verwerking; (ii) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft; (iii) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10; (iv) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en (v) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering. Het HvJ EU heeft het aldus samengevat, dat deze criteria blijk geven van de noodzaak van een concreet, logisch en voldoende nauw verband tussen het doel van de aanvankelijke verzameling van persoonsgegevens en de verdere verwerking van die gegevens. ^[62]

5.11

De verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89 lid 1 AVG van de verordening niet beschouwd als onverenigbaar met de oorspronkelijke doeleinden. ^[63]

5.12

De gerechten mogen, wanneer zij handelen in het kader van hun rechterlijke taken, ook bijzondere persoonsgegevens als bedoeld in art. 9 lid 1 AVG verwerken. ^[64] Dit volgt uit art. 9 lid 2 onder f AVG en het iets anders geformuleerde art. 22 lid 1 onder e UAVG. ^[65] Ook gegevens van strafrechtelijke aard mogen worden verwerkt wanneer gerechten handelen in het kader van hun "rechtsbevoegdheid" (art. 32 onder d UAVG).

In acht te nemen beginselen bij verwerkingen

5.13

De in art. 6 lid 1 onder e AVG bedoelde rechtsgrond voor verwerking van persoonsgegevens door de gerechten veronderstelt dat de verwerking noodzakelijk moet zijn (ook art. 6 leden 3 en 4 AVG verwijzen daarnaar). De verwerking moet voorts voldoen aan de overige in art. 5 AVG genoemde beginselen.

5.14

Het vereiste van noodzakelijkheid dat gesteld wordt in onder meer art. 6 lid 1 ondereen lid 3 AVG is een algemeen vereiste dat aan de gehele AVG ten grondslag ligt en voortvloeit uit het evenredigheidsbeginsel (ook wel: proportionaliteitsbeginsel) dat in art. 5 lid 4 EU-verdrag is vastgelegd. ^[66] In de rechtspraak van de Hoge Raad wordt gewezen op de steeds in acht te nemen beginselen van proportionaliteit en subsidiariteit. ^[67] De inbreuk op de belangen van betrokkene mag niet onevenredig zijn in verhouding tot het met de verwerking te dienen doel, terwijl dit doel in redelijkheid niet op een andere, voor de betrokkene minder nadelige wijze kan worden verwerkelijkt. ^[68] In dit verband wijs ik ook op art. 5 lid 1 onder b en c AVG, waarin de beginselen van doelbinding en minimale gegevensverwerking zijn neergelegd. Ook mogen persoonsgegevens niet langer worden bewaard dan noodzakelijk is. ^[69]

5.15

Wat de overige in art. 5 AVG genoemde beginselen betreft, wijs ik nog op het volgende.

5.16

Het transparantiebeginsel (art. 5 lid 1 onder a AVG) is uitgewerkt in art. 12 tot en met 15 AVG. Art. 13 lid 1 AVG vereist dat de betrokkene bij wie gegevens worden verzameld door de verwerkingsverantwoordelijke al bij de verkrijging van de persoonsgegevens door de verwerkingsverantwoordelijke wordt geïnformeerd over onder meer de verwerkingsdoelen en de rechtsgrond (onder c). Art. 13 lid 3 AVG verplicht de verwerkingsverantwoordelijke, wanneer deze voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, de betrokkene vóór die verdere verwerking hierover informatie te verstrekken. Deze informatie mag via een website ter beschikking worden gesteld (zie overweging (58) van de considerans).

5.17

Deze informatieverplichtingen zijn erop gericht de betrokkene in staat te stellen zijn of haar rechten krachtens de AVG uit te oefenen. Het betreft de rechten van inzage (art. 15), van rectificatie (art. 16), op "gegevenswissing" (art. 17), op beperking van de verwerking (art. 18), op overdraagbaarheid van gegevens (art. 20), van bezwaar (art. 21) en tot slot het recht om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking van persoonsgegevens gebaseerd besluit (art. 22).

5.18

Deze rechten kennen bepaalde beperkingen. Het recht op "gegevenswissing" geldt ingevolge art. 17 lid 3 bijvoorbeeld niet voor zover verwerking nodig is voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend (onder b) of voor de instelling, uitoefening of onderbouwing van een rechtsvordering (onder e). Vgl. ook art. 18 lid 2 AVG in verband met het recht op beperking.

Voorts kunnen op de in art. 23 lid 1 AVG genoemde gronden (zie hiervoor in 5.10), onder bepaalde voorwaarden (zie art. 23 AVG), de verplichtingen van de verwerkingsverantwoordelijke en de rechten van de betrokkene bij wet worden beperkt. Art. 23 AVG is door de Nederlandse wetgever in gewijzigde vorm overgenomen in art. 41 van de Uitvoeringswet AVG. ^[70] Volgens art. 41 UAVG kan de verwerkingsverantwoordelijke de verplichtingen en rechten, bedoeld in de art. 12 tot en met 21 en 34 AVG, ^[71] buiten toepassing laten voor zover dit noodzakelijk en evenredig is ter waarborging van onder meer: belangrijke doelstellingen van algemeen belang van de Unie of van de lidstaat (onder e), de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures (onder f), de bescherming van de betrokkene of van de rechten en vrijheden van anderen (onder i) en de inning van civielrechtelijke vorderingen (onder j).

Door de verwerkingsverantwoordelijke te treffen passende maatregelen

5.19

Naast de reeds genoemde verplichting om te kunnen aantonen dat de beginselen van art. 5 AVG worden nageleefd (art. 5 lid 2) en de hiervoor genoemde informatieplichten en plichten in verband met de rechten van de betrokkene (art. 12 e.v. AVG), rusten op de verwerkingsveranwoordelijke (onder meer) de algemene verplichtingen van de art. 24 en 25 AVG om 'passende technische en organisatorische maatregelen' te treffen:

"Artikel 24 Verantwoordelijkheid van de verwerkingsverantwoordelijke

1. Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.

(...)

Artikel 25 Gegevensbescherming door ontwerp en door standaardinstellingen

1. Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden, treft de verwerkingsverantwoordelijke, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, passende technische en organisatorische maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen.

2. De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt.

(...)"[cursivering toegevoegd]

5.2

De beantwoording van de vraag welke maatregelen passend zijn, vergt een beoordeling van de omstandigheden van het geval. Daarbij zal onder meer rekening moeten worden gehouden met het voortschrijden van de stand van de techniek. De verantwoordelijkheid ter zake berust bij de verwerkingsverantwoordelijken, dat wil zeggen de gerechtsbesturen, De Raad voor de rechtspraak en de landelijke diensten worden bij activiteiten als de technische inrichting en het beheer van het E-archief betrokken. In de praktijk wordt de hiervoor bedoelde afweging gemaakt in het PRO. Dit is praktisch en niet problematisch. Het gaat immers om een landelijk functionerende databank van de gerechten, terwijl de gerechtsbesturen verantwoordelijkheid nemen voor de uitkomsten van het overleg in het
PRO.

5.21

Het voorgaande brengt mee dat bij het toezicht op de verwerking van persoonsgegevens in het E-archief op basis van de Regeling tot uitgangspunt dient dat de verwerkingsverantwoordelijken (c.q. het PRO) een zekere beoordelingsruimte hebben ten aanzien van de keuze van de te treffen passende maatregelen als bedoeld in de art. 24 en
25AVG.

6. Voldoet het E-archief aan de AVG?

6.1

Voor zover deze vordering ziet op het E-archief als zodanig, is zij beperkt tot de vraag of het E-archief thans voldoet aan de normen van de AVG - dat wil zeggen na het treffen van de eerder (hiervoor onder 3.16 e.v.) genoemde maatregelen, maar zonder dat sprake is van grootschalige anonimisering (of pseudonimisering) van daarin opgenomen uitspraken die persoonsgegevens bevatten - en voor zover het betreft de hierna te noemen aspecten.

6.2

Het E-archief is een jurisprudentiedatabank. Het doel van het E-archief is het waarborgen van de kwaliteit van rechterlijke beslissingen. In het kader van de rechtseenheid is het van belang dat daartoe geautoriseerde rechters, stafjuristen en juridisch medewerkers kunnen kennisnemen van uitspraken in andere, doorgaans vergelijkbare zaken. Voorts staat de Rechtspraak toe dat het E-archief wordt gebruikt voor wetenschappelijk en beleidsmatig onderzoek op rechterlijke uitspraken door externe onderzoekers (van onderzoekinstellingen) en het WODC.

6.3

Voor het verwerken van persoonsgegevens door de gerechten in het kader van hun rechterlijke taken biedt art. 6 lid 1 onder e AVG een grondslag: de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. Gerechten verzamelen in het kader van hun rechterlijke taken persoonsgegevens voor een goed verloop van de procedure. Daarbij valt te denken aan de bereikbaarheid en identificeerbaarheid van partijen. Ook voor de door de rechter te nemen beslissingen is de verwerking van persoonsgegevens noodzakelijk. Daarbij kan worden gedacht aan privégegevens in een echtscheidingszaak en beroepsgegevens in een arbeidszaak.

6.4

Het is niet uitgesloten dat ook de verwerking van persoonsgegevens in uitspraken in het E­-archief deels rechtstreeks kan worden gebaseerd op art. 6 lid 1 onder e AVG, omdat het E­-archief een middel is om de eenheid en kwaliteit van de rechtspraak te bevorderen en de gerechten ook hiervoor in zekere mate verantwoordelijk zijn (vgl. art. 23 lid 3 RO, thans daargelaten de in deze bepaling bedoelde taakverdeling tussen gerechtsbestuur en rechters). ^[72]

6.5

In ieder geval kan de verwerking van persoonsgegevens in uitspraken in het E-archief worden beschouwd als een verdere verwerking in de zin van art. 6 lid 4 AVG. Deze verdere verwerking is een aan de rechtsprekende taak dienstbare en rechtmatige verdere verwerking. Toestemming van de betrokkene is daarvoor niet vereist. Ten eerste kan de grondslag voor deze verdere verwerking worden gevonden in art. 23 lid 1 AVG, waarbij met name kan worden gedacht aan het algemeen belang dat is gemoeid met rechtseenheid en het waarborgen van de kwaliteit van rechterlijke beslissingen. Maar dit belang kan ook in verband worden gebracht met de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures
(in de
zin dat de rechter per zaak beslist of raadpleging van het E­ archief dienstbaar
is om tot een beslissing te komen), met de bescherming van de betrokkene of van de rechten en vrijheden van anderen (in de
zin dat rechten van personen niet worden vastgesteld aan de hand van uiteenlopende juridische uitgangspunten waar rechtseenheid wenselijk is) en met de inning van civielrechtelijke vorderingen (om de hiervoor al genoemde redenen). Ten tweede is verdere verwerking verenigbaar met het doel waarvoor de gegevens oorspronkelijk zijn verzameld, omdat sprake is van een concreet, logisch en voldoende nauw verband tussen het doel van de aanvankelijke verzameling van persoonsgegevens en de verdere verwerking van die gegevens. Dit geldt ook voor zover het wetenschappelijk onderzoek betreft
(zie art. 89 AVG).

6.6

Het bestaan van een voorziening als het E-archief kan in het licht van het voorgaande worden aangemerkt als noodzakelijk voor de uitoefening van de rechtspraak als publieke taak.

6.7

Er is discussie mogelijk over de noodzakelijkheid, en daarmee de proportionaliteit en subsidiariteit, van de concrete inrichting van het E-archief, mede in het licht van het beginsel van minimale gegevensverwerking van art. 5 lid 1 onder c AVG. Het is juist de concrete inrichting van het E-archief geweest, die in het licht van de zojuist genoemde uitgangspunten van de AVG de aanleiding vormde voor de verbetermaatregelen die door het PRO zijn getroffen, nadat binnen de Rechtspraak was geoordeeld dat de destijds bestaande inrichting onvoldoende was.

6.8

Naar mijn mening is met de maatregelen die zijn getroffen om de toegang tot het E-archief te beperken thans een situatie ontstaan die voldoet aan de zojuist bedoelde uitgangspunten van de AVG. Daarbij neem ik in het bijzonder in aanmerking het opschonen van bestaande autorisaties en de beperking van autorisaties tot in beginsel één rechtsgebied en de verruimde mogelijkheden van logging en monitoring. De hiervoor (onder 3.23 onder (1)-(5)) samengevat weergegeven antwoorden van de gerechtsbesturen van de rechtbanken Noord­ Nederland, Amsterdam en Den Haag bevestigen dat de bedoelde verbetermaatregelen in de praktijk worden toegepast.

Daarbij betrek ik dat flankerende maatregelen zijn getroffen, zoals het opwerpen van een drempel voor het zoeken in gegevens ouder dan 10 jaar, ^[73] het vergroten van het bewustzijn van de privacyaspecten van het E-archief en de logging. Daarbij betrek ik voorts dat het gaat om een interne rechtspraakdatabank die alleen toegankelijk is voor bepaalde medewerkers van de Rechtspraak, met een aan hun functie gerelateerde geheimhoudingsplicht.

6.9

Hieraan doet niet af dat is gebleken dat stelselmatige monitoring van het gebruik van het E­ archief onmogelijk is gebleken en dat grootschalige anonimisering (of pseudonimisering) van uitspraken in het E-archief opgenomen thans (nog) niet is gerealiseerd vanwege de eerder genoemde aandachtspunten. Uit art. 25 lid 1 AVG volgt immers dat bij de beoordeling of passende maatregelen zijn getroffen, ook rekening mag worden gehouden met de stand van de techniek en de uitvoeringskosten.

6.1

Overigens betekent dit niet dat het doel om te komen tot grootschalige anonimisering (of pseudonimisering) niet nastrevenswaardig zou zijn. Met de ontwikkeling van de technische mogelijkheden (ik verwijs in dit verband naar wat is opgemerkt onder 3.20) kan dat doel immers op enig moment in zicht komen en nopen tot een actualisering van de afweging van de privacyaspecten van het E-archief. ^[74] Ook wanneer grootschalige anonimisering (of pseudonimisering) mogelijk is, zal moeten worden beoordeeld tot hoever deze zich dient uit te strekken (vgl. de huidige Anonimiseringsrichtlijn die wordt gehanteerd bij publicatie van uitspraken op rechtspraak.nl).

6.11

Uit de antwoorden van de besturen van de rechtbanken Noord-Nederland, Amsterdam en Den Haag op de door mij gestelde vragen blijkt dat er thans geen afzonderlijke criteria ontwikkeld zijn voor het raadplegen van het E-archief op naam van bijvoorbeeld partijen en/of gemachtigden. Daartoe dient dus de algemene norm, dat een medewerker binnen het E­-archief slechts mag zoeken naar een voor het eigen werk relevante uitspraak binnen (in beginsel) het eigen rechtsgebied. Gecombineerd met de andere onder 6.8 hiervoor bedoelde maatregelen, komt dat voor nu toereikend voor.

6.12

Het transparantiebeginsel (art. 5 lid 1 onder a AVG) is uitgewerkt in art. 12 tot en met 15 AVG. Art. 13 lid 1 AVG vereist dat de betrokkene bij wie gegevens worden verzameld door de verwerkingsverantwoordelijke al bij de verkrijging van de persoonsgegevens door de verwerkingsverantwoordelijke wordt geïnformeerd over onder meer de verwerkingsdoelen en de rechtsgrond (onder c). Art. 13 lid 3 AVG verplicht de verwerkingsverantwoordelijke, wanneer deze voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, de betrokkene vóór die verdere verwerking hierover informatie te verstrekken. Deze informatie mag via een website ter beschikking worden gesteld (zie overweging (58) van de considerans).

6.13

In ieder geval vanaf het moment dat op de website van rechtspraak.nl uitdrukkelijk het bestaan en doel van het E-archief zijn vermeld, wordt voldaan aan het beginsel van doelbinding (art. 5 lid 1 onder b AVG) en tevens aan het transparantiebeginsel (art. 5 lid 1 onder a AVG in verbinding met art. 13 lid 1 onder c en, voor zover sprake is van een verdere verwerking in de zin van art. 6 lid 4 AVG, in verbinding met art. 13 lid 3 AVG en art. 14 lid 4 AVG).

6.14

Afrondend merk ik op dat ik geen aanknopingspunten zie te betwijfelen dat ten aanzien van het E-archief in algemene zin wordt voldaan aan de hiervoor nog niet expliciet genoemde beginselen van art. 5 AVG. In verband met het juistheidsbeginsel (art. 5 lid 1 onder d AVG) wijs ik erop dat op rechtspraak.nl onder de knop 'Privacyverklaring' informatie wordt verschaft over het recht op correctie, beperking of verwijdering van persoonsgegevens. Ten aanzien van het beginsel van opslagbeperking (art. 5 lid 1 onder e AVG) merk ik op dat voorstelbaar is dat het bewaren van 'oudere' uitspraken in het E-archief mogelijk relevant en in overeenstemming met het (rechtmatige) doel van het E-archief is. ^[75]

6.15

Ik kom tot de slotsom dat het E-archief thans, na het treffen van de hiervoor bedoelde maatregelen, voldoet aan de eisen van de AVG. Dit brengt mee dat het ook verantwoord is om uitspraken te raadplegen die in het E-archief zijn opgenomen voordat de hiervoor bedoelde maatregelen werden getroffen. ^[76]

7. Bespreking van de klachten

7.1

Bij de bespreking van de klachten wordt telkens uitgegaan van de stand van zaken ten tijde van het indienen van de klacht. Zoals gezegd, betrek ik alle klachten op de gerechtsbesturen, omdat zij in de Regeling als verwerkingsverantwoordelijken worden aangemerkt.

De klacht tegen het bestuur van de rechtbank Noord-Nederland

7.2

In de brief van klager van 9 september 2022 staat de verwerking van persoonsgegevens van klager door de opname van de (niet geanonimiseerde) uitspraak van de rechtbank Noord­ Nederland van 23 februari 2022 in het E-archief centraal. Hierbij ga ik ervan uit dat klager ook na de door hem gestelde verwijdering van de uitspraak uit het E-archief (zie hiervoor in 2.3) belang bij zijn klacht houdt. In de periode na de opname van persoonsgegevens in een bestand en vóór de verwijdering van die persoonsgegevens uit het bestand, kan immers sprake zijn geweest van (verdere) verwerking van die persoonsgegevens, welke verwerking moet voldoen aan de normen van de AVG.

7.3

De meest verstrekkende klacht is dat het gerechtsbestuur in strijd met de AVG-en daarmee onbehoorlijk - heeft gehandeld door, zonder toestemming van klager, zijn persoonsgegevens te verwerken door de uitspraak van de rechtbank Noord-Nederland van 23 februari 2022 in het E-archief op te nemen. Met deze klacht stelt klager de verenigbaarheid van de opname van niet geanonimiseerde uitspraken in het E-archief zonder toestemming van de betrokkenen met de AVG als zodanig aan de orde.

Deze klacht komt ongegrond voor. Toestemming is immers geen vereiste voor een rechtmatige verwerking van persoonsgegevens door de gerechten bij de uitoefening van hun gerechtelijke taken door opname van uitspraken in het E-archief. Voor opname in het E­-archief zonder toestemming is een rechtsgrond aanwezig in de vorm van art. 6 lid 1 onder e AVG (zie ook art. 6 lid 4 AVG). Ik verwijs verder naar onderdeel 6 van deze vordering.

7.4

Verder meent klager dat de uitspraak van de rechtbank Noord-Nederland van 23 februari 2022 niet voldoet aan de door de Rechtspraak geformuleerde criteria voor opname van uitspraken in het E-archief.

Ik meen dat de klacht deels niet voor behandeling in aanmerking komt en voor het overige ongegrond is. Ik licht dat toe.

7.5

De ten aanzien van klager in de uitspraak van 23 februari 2022 verwerkte persoonsgegevens betreffen (i) zijn naam en (ii) zijn niet professionele hoedanigheid als gemachtigde.

Het onder (ii) bedoelde gegeven is bepalend voor de beslissing over de eventuele toekenning van proceskosten van de cliënt van klager op voet de art. 1 onder a) van het Besluit proceskosten bestuursrecht. Dit gegeven betreft daarmee de zakelijke inhoud van de beslissing. Uit art. 11 van de Regeling volgt dat daarover niet kan worden geklaagd (zie hiervoor onder 4.27).

7.6

Het onder (i) bedoelde gegeven heeft voor andere rechters mogelijk relevantie in combinatie met het onder (ii) bedoelde gegeven. Het doel van het E-archief is het waarborgen van de kwaliteit van de rechterlijke beslissingen in het kader van de rechtseenheid. In dit verband kan het voor de rechtseenheid noodzakelijk worden geacht dat bijvoorbeeld een bestuursrechter in een gerecht kennis kan nemen van uitspraken van een bestuursrechter in een ander gerecht. Als de vraag is of klager beroepsmatige rechtsbijstand verleent, ligt het voor de hand dat raadpleging van het E-archief op naam van klager plaatsvindt.

7.7

Het is in beginsel aan de rechter die de beslissing heeft genomen om te beoordelen of de uitspraak kan bijdragen aan de kwaliteit van de rechtspraak in het kader van de rechtseenheid en dus voldoet aan de selectiecriteria voor opname in het E-archief. ^[77] Daarom moet de rechter bij de beslissing om een uitspraak op te nemen een ruime beoordelingsruimte worden gegund. De rechter in de rechtbank Noord-Nederland heeft kennelijk (aanvankelijk) geoordeeld dat het in het E-archief opnemen van de uitspraak met daarin de naam van klager relevant kan zijn voor de uniforme toepassing van het Besluit proceskosten bestuursrecht. Dit oordeel is niet onbegrijpelijk. De klacht bevat geen aanknopingspunten waarom hierover anders geoordeeld zou moeten worden.

7.8

De brief houdt ook de klacht in dat het gerechtsbestuur in strijd met de AVG - en daarmee onbehoorlijk - heeft gehandeld door, zonder dat klager het bestaan van het E-archief kenbaar was gemaakt, zijn persoonsgegevens te verwerken door opname in het E-archief van de uitspraak van de rechtbank Noord-Nederland van 23 februari 2022.

Deze klacht komt gegrond voor. Klager heeft bij mij geklaagd over de omstandigheid dat op het moment dat hij zijn persoonsgegevens verstrekte, telkens ten behoeve van de concrete procedure bij de rechtbank, voor hem niet kenbaar was dat deze gegevens in het E-archief konden worden opgenomen. In zijn brief van 7 juli 2022 heeft klager dit bezwaar kenbaar gemaakt aan de FG voor de rechtspraak. De FG voor de Rechtspraak heeft klager in haar brief van 11 augustus 2022 geschreven dat op dat moment op rechtspraak.nl niet expliciet werd verwezen naar het E-archief. Een en ander heeft ertoe geleid dat in het najaar van 2022 rechtspraak.nl op dit punt is aangepast.

Het voorgaande betekent dat ten tijde van de opname van de uitspraak van 23 februari 2022 in het E-archief niet was voldaan aan het beginsel van transparante gegevensverwerking van art. 5 lid 1 onder a AVG, zoals uitgewerkt in art. 13 lid 1 onder c AVG en, voor zover sprake is van een verdere verwerking als bedoeld in art. 6 lid 4 AVG, in art. 13 lid 3 AVG. In zoverre acht ik de klacht gegrond.

7.9

Voor zover de brief ook de klacht bevat dat de uitspraak van de rechtbank Noord-Nederland van 20 mei 2022 (waarin klager wel als professioneel gemachtigde is aangemerkt) ten onrechte niet in het E-archief is opgenomen, geldt het volgende.

7.1

De beslissing om een uitspraak niet in het E-archief op te nemen resulteert niet in een verwerking van persoonsgegevens in de zin van art. 4 onder 2 AVG. De Regeling is daarop dus niet van toepassing. Deze klacht kan niet in behandeling worden genomen.

7.11

Samengevat meen ik dat de klacht gegrond is voor zover ten tijde van de opname van de uitspraak van de rechtbank Noord-Nederland van 23 februari 2022 in het E-archief voor klager niet kenbaar was dat zijn persoonsgegevens zouden kunnen worden verwerkt door opname van een uitspraak in het E-archief (zie hiervoor onder 7.8). Voor het overige treffen de tegen het bestuur van de rechtbank Noord-Nederland gerichte klachten geen doel.

De klacht tegen het bestuur van de rechtbank Amsterdam

7.12

De brieven van klager van 28 en 29 november 2022 houden samengevat de volgende klachten in.

7.13

Ten eerste houdt de klacht in dat het gerechtsbestuur in strijd met de AVG - en daarmee onrechtmatig - heeft gehandeld door persoonsgegevens van klager te verwerken doordat de rechter in die rechtbank op naam van klager het E-archief heeft geraadpleegd (waarbij de uitspraak van de rechtbank Noord-Nederland van 23 februari 2022 is gevonden), terwijl de door de AVG vereiste grondslag en noodzaak daarvoor ontbraken.

7.14

Hiervoor heb ik (onder 7.6) al opgemerkt dat de Regeling geen ingang biedt om te klagen over verwerking van het gegeven dat al dan niet beroepshalve rechtsbijstand wordt verleend, omdat dit gegeven in deze context ziet op de zakelijke inhoud van de beslissing. Voor zover de klacht hierop betrekking heeft, kan zij niet in behandeling worden genomen.

7.15

Voor het overige meen ik dat de klacht tegen het bestuur van de rechtbank Amsterdam ongegrond is.

Ik verwijs naar hetgeen hiervoor onder 7.3 is opgemerkt over de rechtsgrond voor verwerkingen van persoonsgegevens in het E-archief. Ook het raadplegen van het E-archief is een verwerking in de zin van art. 4 onder 2 AVG. Op de beoordeling van de noodzaak om op naam van klager het E-archief te raadplegen, is hetgeen hiervoor onder 7.7-7.8 is opgemerkt
mutatis mutandis van toepassing. Dat betekent dat de rechter in dit verband een ruime mate van beoordelingsvrijheid toekomt. Het kennelijke oordeel van de behandelend rechter dat het raadplegen van het E-archief kan bijdragen aan de kwaliteit van het rechterlijk oordeel in het kader van de rechtseenheid ten aanzien van de vraag of door klager al dan niet beroepshalve rechtsbijstand wordt verleend, is niet onbegrijpelijk. Ik voeg daaraan toe dat het gegeven dat bepaalde uitspraken over het al dan niet beroepsmatige karakter van de door klager verleende rechtsbijstand reeds in het dossier zaten, zoals klager schrijft in zijn brief van 28 november 2022, de rechter niet ervan behoeft te weerhouden ook nader onderzoek te doen naar deze en mogelijke andere relevante uitspraken.

7.16

Ten tweede houdt de klacht in dat het gerechtsbestuur in strijd met de AVG - en daarmee onbehoorlijk - heeft gehandeld door zijn persoonsgegevens te verwerken doordat de rechter in die rechtbank het resultaat van de raadpleging van het E-archief ter zitting heeft vermeld. Voor zover hier al gesproken kan worden van een verwerking die valt te onderscheiden van de verwerking die bestaat uit de raadpleging van het E-archief op naam van klager door deze rechter, geldt voor de mededeling ter zitting hetzelfde als is opgemerkt (onder 7.15) voor de raadpleging van het E-archief door deze rechter.

7.17

Ten derde houdt de klacht in dat het gerechtsbestuur in strijd met de AVG - en daarmee onbehoorlijk - heeft gehandeld door zijn persoonsgegevens te verwerken doordat de rechter in die rechtbank het resultaat van de raadpleging van het E-archief heeft verwerkt in haar uitspraak.

Voor deze verwerking geldt hetzelfde als is opgemerkt (onder 7.12) over de raadpleging van het E-archief door deze rechter. Hetzelfde geldt voor zover de klacht ook ziet op het handelen van de griffier die de uitspraak mede heeft ondertekend. ^[78] Hierbij komt dat art. 121 van de Grondwet voorschrijft dat een uitspraak in het openbaar wordt gedaan. Daarbij teken ik aan dat de openbaarheid van de desbetreffende uitspraak in dit geval kennelijk niet anders inhoudt dan dat deze ter openbare zitting is uitgesproken en niet (ook) dat de uitspraak is gepubliceerd op rechtspraak.nl. ^[79]

7.18

Ten vierde houdt de klacht in dat het gerechtsbestuur in strijd met de AVG - en daarmee onbehoorlijk - heeft gehandeld, door het voorgaande niet aan te merken als een inbreuk op de AVG, dit datalek niet op voet van de Regeling te melden bij de procureur-generaal bij de Hoge Raad en niets heeft ondernomen om de gevolgen van het datalek te beperken.

Deze klacht is ongegrond. Uit hetgeen hiervoor is overwogen volgt dat geen sprake is geweest van een datalek als bedoeld in de Regeling.

7.19

Ik concludeer dat de klacht tegen het bestuur van de rechtbank Amsterdam geen doel treft.

De klacht tegen het bestuur van de rechtbank Den Haag

7.2

De correspondentie tussen klager en de rechtbank betreft (a) in het algemeen uitspraken van de rechtbank Den Haag waarin persoonsgegevens van klager zijn/worden verwerkt en in het bijzonder (b) een uitspraak van deze rechtbank van 18 november 2021 in de zaak met kenmerk SGR 21/5722 WOB. Uit de stukken maak ik op dat de uitspraak van 18 november 2021 met dit kenmerk in het E-archief is opgenomen.

7.21

De brief van klager van 25 november 2022 houdt de volgende klachten in.

7.22

Ten eerste houdt de brief de klacht in dat het gerechtsbestuur in strijd met de AVG - en daarmee onbehoorlijk - heeft gehandeld door, zonder toestemming van klager, zijn persoonsgegevens te verwerken door opname in het E-archief van een uitspraak (of uitspraken) van de rechtbank Den Haag.

Deze klacht treft geen doel, op de gronden zoals hiervoor onder 7.3 zijn weergegeven.

7.23

Ten tweede houdt de klacht in dat het gerechtsbestuur in strijd met de AVG - en daarmee onbehoorlijk - heeft gehandeld door, zonder dat klager het bestaan van het E-archief kenbaar was gemaakt, zijn persoonsgegevens te verwerken door opname in het E-archief van een uitspraak (of uitspraken) van de rechtbank Den Haag.

Klager heeft in de zaak met kenmerk SGR 21/5722 WOB waarin op 18 november 2021 uitspraak is gedaan, zijn persoonsgegevens aan de rechtbank verstrekt vóórdat de privacyverklaring op rechtspraak.nl melding maakte van het E-archief (zie hiervoor in 7.8). Daarmee was niet voldaan aan het beginsel van transparante gegevensverwerking van art. 5 lid 1 onder a AVG, zoals uitgewerkt in art. 13 lid 1 onder c AVG en, voor zover sprake is van een verdere verwerking als bedoeld in art. 6 lid 4 AVG, in art. 13 lid 3 AVG. In zoverre acht ik de klacht gegrond. Voor het overige komt de klacht ongegrond voor, omdat niet is gebleken dat andere uitspraken waarin persoonsgegevens van klager zijn vervat, in het E­ archief zijn opgenomen vóórdat de privacyverklaring op rechtspraak.nl melding maakte van het E-archief.

7.24

Ten derde houdt de klacht in dat het gerechtsbestuur in strijd met de AVG - en daarmee onbehoorlijk - heeft gehandeld door de teamvoorzitter te laten beslissen op het verzoek van klager in plaats van daarop zelf te beslissen.

Het gerechtsbestuur heeft klager bij brief van 8 november 2022 geschreven dat niet wordt voldaan aan zijn verzoek van 16 augustus 2022 (in verband met een uitspraak van 18 november 2021) te waarborgen dat zijn persoonsgegevens niet (meer) verspreid worden via (onder meer) het E-archief. Hierbij is aangegeven dat het bezwaar is voorgelegd aan de voorzitter van het team waarin de zaak is behandeld en dat een weging heeft plaatsgevonden tussen het belang van openbaarheid en vindbaarheid van de rechtspraak en de privacy van klager in de zaak.

7.25

De klacht is ongegrond. Zoals hiervoor uiteengezet, is het gerechtsbestuur verwerkingsverantwoordelijke in de zin van de AVG. Op de verwerkingsverantwoordelijke rust een 'verantwoordingsplicht'; hij moet kunnen aantonen dat art. 5 lid 1 AVG, inhoudende beginselen inzake de verwerking van persoonsgegevens, wordt nageleefd (art. 5 lid 2 AVG). In art. 23 lid 1 RO is bepaald dat het bestuur belast is met de algemene leiding, de organisatie en de bedrijfsvoering van het gerecht en dat het bestuur in het bijzonder zorg draagt voor de in lid 1 opgesomde taken. Voorts treedt het bestuur bij de uitvoering van deze taken niet in de procesrechtelijke behandeling van, de inhoudelijke beoordeling van alsmede de beslissing in een concrete zaak of in categorieën van zaken (art. 23 lid 2 RO). De instructiebevoegdheid van het bestuur is op gelijke wijze begrensd (art. 24 RO).

7.26

De beoordeling of opname van een uitspraak in het E-archief noodzakelijk is, is voorbehouden aan de behandelend rechter. Het bepaalde in art. 23 lid 2 en art. 24 lid 2 RO staat eraan in de weg dat het bestuur treedt in het rechterlijk domein, terwijl het gerechtsbestuur wel verwerkingsverantwoordelijke is. Dit leidt ertoe dat het gerechtsbestuur verzoeken als hier bedoeld dient te beantwoorden en kan worden aangesproken naar aanleiding van bij mij ingediende klachten over de behandeling van dergelijke verzoeken, maar dat de daadwerkelijke weging van genoemde belangen voorbehouden blijft aan personen die werkzaam zijn binnen het rechterlijk domein.

7.27

Ten vierde houdt de klacht in dat de afwijzing van het verzoek door het gerechtsbestuur in zijn brief van 8 november 2002 aan klager onvoldoende gemotiveerd is.

Ook deze klacht acht ik ongegrond. Klager geeft in zijn klachtbrief aan mij van 25 november 2022 zelf aan dat hij in zijn verzoek geen nadere omstandigheden heeft aangevoerd betreffende zijn persoonsgegevens. Het gerechtsbestuur moest het dus doen met de gegevens die bleken uit de klager genoemde uitspraak van 18 november 2021. Tegen deze achtergrond volstaat een algemene overweging zoals gegeven door het gerechtsbestuur in zijn brief aan klager van 8 november 2022.

7.28

Samengevat meen ik dat de klacht gegrond is voor zover ten tijde van de opname van de uitspraak van de rechtbank Den Haag van 18 november 2021 in het E-archief voor betrokkene niet kenbaar was dat zijn persoonsgegevens zouden kunnen worden verwerkt door opname van een uitspraak in het E-archief. Voor het overige is de klacht ongegrond.

8. Vordering

8.1

Klachten als bedoeld in de 'Regeling toezicht verwerking persoonsgegevens door gerechten en het parket bij de Hoge Raad' over verwerkingen van persoonsgegevens door gerechten bij de uitoefening van hun rechterlijke taken worden zoveel mogelijk overeenkomstig de bepalingen uit afdeling 1a van Hoofdstuk 2 van de Wet op de Rechterlijke Organisatie behandeld. Tegen deze achtergrond vorder ik dat de Hoge Raad een onderzoek instelt naar de wijze waarop de gerechtsbesturen van de rechtbanken Noord-Nederland, Amsterdam en Den Haag, als verwerkingsverantwoordelijken in de zin van de AVG, de persoonsgegevens van klager hebben verwerkt in (het kader van) het E-archief.

8.2

Mijn bevindingen vat ik als volgt samen.

8.3

Voor zover de klachten zijn gericht tegen (i) de zakelijke inhoud van de rechterlijke beslissingen, in het bijzonder waar het gaat om de vermelding van de niet professionele hoedanigheid als gemachtigde, en (ii) het niet opnemen van een uitspraak in het E-archief, kunnen deze niet in behandeling worden genomen.

8.4

Ik geef de Hoge Raad in overweging de overige klachten ongegrond te verklaren, behoudens voor zover wordt geklaagd over de opname in het E-archief van de uitspraak van de rechtbank Noord-Nederland van 23 februari 2022 en de uitspraak van de rechtbank Den Haag van 18 november 2021. Deze klachten acht ik gegrond, omdat op het moment van deze opname niet was voldaan aan het beginsel van transparante gegevensverwerking van art. 5 lid 1 onder a AVG. Het bestaan van het E-archief was ten tijde van de opname immers nog niet vermeld op www.rechtspraak.nl en daarmee nog niet voor klager kenbaar, terwijl evenmin is gebleken dat deze (verdere) verwerking anderszins voor klager kenbaar was. Intussen is de website aangepast en doet dit gebrek zich aldus niet meer voor.

8.5

Daarnaast vorder ik ambtshalve dat de Hoge Raad onderzoekt of de inrichting van het E­ archief thans voldoet aan de normen van de AVG. Deze vraag heb ik in paragraaf 6 bevestigend beantwoord.

8.6

Ik merk voor de volledigheid nog op dat de in deze vordering besproken aspecten van het E-archief de toepassing van de AVG betreffen. Er zijn geen vragen van uitleg van de AVG waarover redelijke twijfel mogelijk is aan de orde. Ik zie daarom geen aanleiding om het stellen van prejudiciële vragen aan het Hof van Justitie van de Europese Unie in overweging te geven.

8.7

De stukken van deze zaak leg ik hierbij over overeenkomstig de bijgevoegde inventarislijst.

Den Haag, 21 juli 2023

De Procureur-Generaal bij de Hoge Raad der Nederlanden

Voetnoten

1. Daaronder worden in dit verband verstaan: arresten, vonnissen en beschikkingen.

2. Hetzelfde geldt voor de Afdeling bestuursrechtspraak van de Raad van State, die bovendien geen uitspraken in het in deze vordering bedoelde E-archief publiceert.

3. Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de

5. Voor zover deze klachten betrekking hebben op andere onderwerpen dan het E-archief, maken zij geen deel uit van deze vordering. Klager is of wordt daarover door mij apart geïnformeerd.

6. Of diens cliënt, maar dit laat ik verder rusten. Indien de klacht zou behelzen dat op naam van de cliënt zou zijn gezocht, moet worden geconstateerd dat de klacht in zoverre niet-ontvankelijk is. Vgl. HR 13 november 2018, ECLl:NL:HR:2018:2197, TT2019/16, m.nt. N.A. van Leon-van den Berg, rov. 4.2.

7. Klager heeft in zijn brief van 30 augustus 2022 aan mij geschreven dat sprake is van een datalek. De plaatsvervangend procureur-generaal heeft klager in zijn brief van 14 oktober 2022 geantwoord dat uit navraag bij de rechtbank Amsterdam naar voren is gekomen dat de gebeurtenis waarop klager doelt in zijn brief van 30 augustus 2022 door de rechtbank niet als datalek wordt beschouwd, reden waarom geen sprake is van een melding van een datalek bij de procureur-generaal.

8. De klacht betreft ook rechtspraak.nl. In dat verband voert klager aan, samengevat, dat de uitspraak van 18 november 2021 niet voldoet aan de selectiecriteria voor publicatie op rechtspraak.nl en dat naar zijn mening, anders dan de Anonimiseringsrichtlijn voorschrijft, ook de naam van een professioneel handelend gemachtigde op diens verzoek geanonimiseerd dient te worden. Deze klachten vallen buiten het bestek van deze vordering. Ik bericht klager daarover afzonderlijk.

9. In deze uitspraak werd een proceskostenvergoeding op de voet van art. 8:75a Awb toegekend.

10. Inclusief de presidenten van de Centrale Raad van Beroep en het College van Beroep voor het bedrijfsleven.

12. Zie nader M. van Opijnen,

13. Waaronder beschikkingen. Zo is in het civiel recht een rechterlijke uitspraak in een verzoekschriftprocedure aan te merken als een beschikking.

14. Zie de vordering tot cassatie in het belang der wet, opgesteld door A-G Wesseling-van Gent, ECLl:NL:PHR:2022:533,onder 10.2. e.v.

15. Het begrip heeft een ruime strekking. Zie HvJ EU 24 februari 2022, C-175/20, ECLl:EU:C :2022:124,

16. Als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd

17. De website rechtspraak.nl wordt beheerd door het Landelijk Diensten Centrum voor de Rechtspraak (LDCR), dat onderdeel uitmaakt van de Raad voor de rechtspraak, dat onder meer de wettelijke taak heeft om de bedrijfsvoering bij de gerechten te ondersteunen (art. 91 lid 1, onder c., RO). Deze website bevat informatie voor rechtzoekenden en andere geïnteresseerden, een aantal portalen, bijvoorbeeld voor advocaten, een aantal registers, zoals het Curatele- en bewindregister, maar ook een uitsprakenregister. Zie over de opname van persoonsgegevens in dit uitsprakenregister: G.M. Boezelman & J.R.J. Gijsen, 'Het belang van privacy in het strafrecht. Over (on)terechte exposure op Rechtspraak.nl en de gevolgen daarvan',

18. Het privacy-regelement E-archief hanteert de volgende definities: betrokkene:

19. Aldus de brief van de FG voor de Rechtspraak aan klager van 11 augustus 2022.

20. Eveneens gevoegd als bijlage bij de brief van de FG voor de Rechtspraak aan klager van 11 augustus 2022.

21. De logging vindt als volgt plaats: de functionaliteit van het E-archief bestaat uit het 'full text· zoeken op uitspraken, eventueel in combinatie met het aanbrengen van enkele specifieke zoekfilters zoals instantie. Op basis van de zoekvraag wordt een resultatenlijst gepresenteerd met uitspraken en de gebruiker kan ieder resultaat - de gevonden uitspraak - afzonderlijk raadplegen.

22. Herkenning van namen in de context van een uitspraak is wel mogelijk met behulp van een pseudonimiseringstool, maar niet zonder context zoals bij het zoekveld in het E-archief.

23. Pseudonimisering is een beschermingsmaatregel. Zie overwegingen (26), (28), (29), (75), (78), (85) en (156) van de considerans van de AVG. Onder pseudonimisering wordt in de AVG verstaan: 'het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld.' Zie art. 4 onderdeel 5 AVG.

24. Onder de term 'query' wordt in de informatica verstaan een zoekopdracht zoals deze in een zoekmachine wordt ingevoerd.

26. Richtlijn EU 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ

28. Art. 8 Handvest van de grondrechten van de Europese Unie luidt: "Bescherming van persoonsgegevens

29. Vóórdat de AVG van toepassing werd, was ofwel de Wet justitiële en strafvorderlijke gegevens (Wjsg) ofwel de Wet bescherming persoonsgegevens (Wbp) van toepassing op de verwerking van persoonsgegevens door de gerechten en andere rechterlijke organisaties. De AP was toezichthouder op de naleving van beide wetten. Destijds bleek uit informatie op de website van de AP dat de AP zich niet bevoegd achtte toe te zien op 'de inhoud van het werk van de rechter' (vgl. art. 116 Gw). De AP achtte zich wel bevoegd om toezicht te houden op bijvoorbeeld de publicatie van beslissingen en uitspraken. Een specifieke regeling met betrekking tot het toezicht op de gegevensverwerking in het kader van de 'inhoud van het werk van de rechter' ontbrak destijds.

30. HvJ 24 maart 2022, C-245/20, ECLl:EU:C:2022:216,

31. Zie ook hetgeen de advocaat-generaal M. Bobek hierover in zijn conclusie van 6 oktober 2021 (ECLl:EU:C:2021:822) voorafgaand aan het arrest opmerkt onder 76 tot en met 81, m.n. onder 81: "Anderzijds wordt de noodzaak van een ruime uitlegging van de term "rechterlijke taken" ook bevestigd doordat het woord “waaronder" is geplaatst vóór" besluitvorming" in de tweede volzin van overweging 20 AVG. De koppeling die daardoor wordt gelegd, wijst er immers ook op dat het begrip "rechterlijke taken" ruimer moet worden uitgelegd dan enkel maar individuele beslissingen in verband met een specifieke zaak. Het is derhalve wederom niet noodzakelijk dat elke individuele verwerking merkbaar en duidelijk de rechterlijke onafhankelijkheid waarborgt. Een gerecht kan wel degelijk worden geacht "rechterlijke taken" uit te oefenen zelfs wanneer het activiteiten verricht die verband houden met het algemene functioneren van de rechterlijke macht of met de algemene gang van zaken en de administratie van de gerechtelijke procedure, of het nu bijvoorbeeld gaat over het samenvoegen en opslaan van dossiers, het toewijzen van zaken aan rechters, het voegen van zaken, het verlengen van termijnen, het houden en organiseren van zittingen, het publiceren en verspreiden van zijn uitspraken ten behoeve van het grote publiek (zeker in het geval van hogere rechters), of zelfs het opleiden van nieuwe

33. De Regeling is vastgesteld door de (voormalige) Procureur-Generaal bij de Hoge Raad, Zie ook HR 21 april 2023, ECLl:NL:HR:2023:658, rov. 3.4.7, waarin (de civiele kamer van) de Hoge Raad verwijst naar de Regeling.

34. Zie art. 38 en 39 AVG en art. 33 en 34 van de Richtlijn voor de positie en de taken van de FG. Zo bepaalt art. 39 lid 1 onder b AVG dat de FG onder meer de taak heeft om de naleving van de AVG te controleren. De FG staat de verwerkingsverantwoordelijke bij bij het toezicht op de interne naleving, aldus overweging (97) uit de consideransvan de AVG.

35. Zie overweging (97) in de consideransvan de AVG. De AVG verplicht in bepaalde situaties het instellen van een

36. Zie de Regeling verwerking persoonsgegevens bestuursrechtelijke colleges. De Regeling is in werking getreden met ingang van 1 juni 2018 en werkt terug tot en met 25 mei 2018.

37. In deze betekenis dus inclusief de Hoge Raad.

38. Art. 4 lid 12 AVG houdt in dat onder 'een inbreuk in verband met persoonsgegevens' dient te worden verstaan 'een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens'. De art. 33 en 34 AVG bepalen de criteria voor melding van een datalek en de getroffen maatregelen aan de toezichthouder respectievelijk de betrokkene.

39. Zie voetnoot 5 van de Regeling: "De bevoegdheden van de PGHR zijn gebaseerd op art. 121 en afdeling 1a van H2 van de Wet op de Rechterlijke Organisatie (welke afdeling ingevolge art. 120 lid 4 Wet op de Rechterlijke Organisatie van overeenkomstige toepassing is op leden van het parket bij de Hoge Raad)."

40. W03.05.0306/I (advies van 27 oktober 2005), te vinden op www.raadvanstate.nl.

41. In voorkomende gevallen verwijst de Hoge Raad ook naar de Regeling. Vgl. HR 21 april 2023, ECLl:NL:HR:2023:658, rov. 3.4.7.

42. De wet verklaart de klachtregeling overigens ook van toepassing op sommige anderen, zoals de leden van het parket bij de Hoge Raad (art. 120 lid 4 RO).

43. Voetnoot 7 van de Regeling noemt in verband met de Hoge Raad bijvoorbeeld griffiemedewerkers, bodes en medewerkers van het wetenschappelijk bureau.

44. Art. 4 onder 7 AVG omschrijft de verwerkingsverantwoordelijke als "een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen".

45. Zie over deze bepaling

46. Zie bijvoorbeeld art. 1 Besluit gezagsregisters: 'In het ingevolge artikel 244 van Boek 1 van het Burgerlijk Wetboek

47. Zie p. 39 van de memorie van toelichting bij het wetsvoorstel strekkende tot invoering van de Wet organisatie en bestuur gerechten:

48. Art. 4 onder 8 AVG luidt: 'een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een

49. H.R. Kranenborg & L.F.M. Verhey,

50. Art. 11 van de Regeling. Zo antwoordde de PGHR in reactie op een klacht over de benoeming door de rechter van een bepaalde opvolgend bewindvoerder en de uit de beslissing voortgevloeide gevolgen dat de klacht ziet op de zakelijke inhoud van de rechterlijke beslissing,zodat hij deze klacht niet in behandeling kan nemen. Ook in reactie op een klacht dat het gerecht een afschrift van de voorlopige beslissing op het verzoek van klager om vrijstelling van griffierecht wegens betalingsonmacht aan de wederpartij heeft gestuurd, is verwezen naar art. 11 van de Regeling, onder toevoeging dat de voorlopige beslissing van invloed is op de ontvankelijkheid van het door klager ingestelde beroep en dat de voorlopige beslissing een beslissing is waarover het gerecht definitief in zijn uitspraak beslist.

52. Overigens noopt niet elke schending van een bepaling van de AVG tot het oordeel dat de verwerking van persoonsgegevens niet rechtmatig is. Zie HvJ EU 4 mei 2023, C-60/22, ECLl:EU:C:2023:373

53. N.M. Brouwer & M. Jansen,

54. HR 21 april 2023, ECLl:NL:HR:2023:658,

55. Vgl. HvJ EU 1 augustus 2022, C-184/20, ECLl:EU:C:2022:601

56. Zie overweging (4) van de considerans van de AVG.

57. Zie over art. 6 AVG ook H.R. Kranenborg & L.F.M. Verhey,

58. Dit betekent dat art. 6 onder f AVG niet als rechtsgrond in aanmerking komt. Zie art. 6 lid 1, slot, AVG en HvJ 8

59. Vgl. ook HvJ EU 2 maart 2023, C-268/21, ECLl:EU:C:2023:145

61. Zie ook

62. HvJ EU 20 oktober 2022, C-77/21, ECLl :EU:C:2022:805

63. Zie overweging (50) van de considerans van de AVG en

64. Bijzondere categorieën van persoonsgegevens zijn: persoonsgegevens met betrekking tot ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.

65. Art. 22 lid 1 onder e UAVG: "de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering, of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid."

66. H.R. Kranenborg & L.F.M. Verhey,

67. HR 21 april 2023, ECLl:NL:HR:2023:658,

68. Vgl. HR 1 december 2017, ECLl:NL:HR:2017:3053, NJ2018/166, m.nt. J. Legemaate,

69. Overweging (39) van de considerans van de AVG luidt, voor zover van belang, als volgt: "(... ). Meer bepaald dienen de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt, expliciet en gerechtvaardigd te zijn en te zijn vastgesteld wanneer de persoonsgegevens worden verzameld. De persoonsgegevens dienen toereikend en ter zake dienend te zijn en beperkt te blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit vereist met name dat ervoor wordt gezorgd dat de opslagperiode van de persoonsgegevens tot een strikt minimum wordt beperkt. Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. Om ervoor te zorgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is, dient de verwerkingsverantwoordelijke termijnen vast te stellen voor het wissen van gegevens of voor een periodieke toetsing ervan."

70. Zie hierover H.R. Kranenborg & L.F.M. Verhey,

71. Art. 34 AVG betreft de plicht om de betrokkene in bepaalde gevallen te informeren bij een datalek.

72. Vgl. ook art. 94 RO: "De Raad heeft tot taak ondersteuning te bieden aan activiteiten van de gerechten die gericht zijn op uniforme rechtstoepassing en bevordering van de juridische kwaliteit."

73. Ik vond op rechtspraak.nl geen mededeling als bedoeld in art. 13 lid 2 onder a AVG over de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn. Het is mij onbekend of de gerechten hier toepassing hebben willen geven aan art. 41 UAVG.

74. Vgl. HR 1 december 2017, ECLl:NL:HR:2017:3053, rov. 5.4.4.

75. Dat niet elke (oudere) uitspraak steeds relevant zal zijn, doet daar gezien de aard van het E-archief als interne databank niet aan af. Vgl. HR 1 december 2017, ECLl:NL:HR:2017:3053, rov. 5.2.4 waarin t.a.v. een systeem voor overdracht van medische gegevens werd overwogen "Dat daarbij niet in elke situatie alle gegevens relevant zijn, is inherent aan het samenstellen van een algemene standaard."

76. Zo zijn door de verbeterde transparantie van de verwerking van gegevens in het E-archief betrokkenen in staat

77. Dit geldt ook als de rechter het nemen van deze beslissing heeft overgelaten aan anderen binnen het gerecht, die dan immers onder verantwoordelijkheid van de rechter handelen. Vgl. HR 13 november 2018, ECLl:NL:HR:2018:2197, IT 2019/16, m.nt. N.A. van Leon-van den Berg, rov. 4.3.2 inzake een rechter die het doen van een melding over eenn advocaat aan de deken overlaat aan de president van het gerecht.

78. In zijn brief van 29 november 2022 klaagt klager ook over de griffier voor zover zij "behulpzaam is geweest bij het uitvoeren van voornoemde zoekslag". Nu gegevens ontbreken over de vraag of de griffier heeft geholpen bij deze zoekslag, is geen sprake van een klacht die in behandeling kan worden genomen.

79. Vgl. HR 21 april 2023, ECLl:NL:HR:2023:658, rov. 3.2.1-3.2.2 en 3.5.1.